Personvernnemndas avgjørelse av 9.8.2005 (Jon Bing, Gro Hillestad Thune, Mari Bø Haugstad, Tom Bolstad, Svein-Erik Ekeid, Siv Bergit Pedersen, Lars Erik Fjørtoft)
1. Innledning
Personvernnemnda har ved oversendelse fra Datatilsynet mottatt klage på tilsynets vedtak av 7.10.2004 om delvis avslag på konsesjonssøknad fra Nasjonal folkehelseinstitutt (FHI), vedrørende opprettelse av forskningsfilen "Sosiale og etniske forskjeller i perinatal helse".
2. Saksgang
Den 20.2.2004 søkte FHI tillatelse til å opprette forskningsfil for studier av sosiale og etniske forskjeller i perinatal helse. Søknad om dispensasjon fra taushetsplikten til Sosial- og helsedirektoratet er datert 25.3.2004, og ble oversendt Datatilsynet i kopi. FHI purret på svar fra Datatilsynet i brev av 8.6.2004. Dispensasjon fra taushetsplikt ble innvilget fra Sosial- og helsedirektoratet den 8.7.2004. Møte mellom FHI og Datatilsynet i sakens anledning ble avholdt 28.9.2004. Datatilsynet ga konsesjon til prosjektet 7.10.2004. Konsesjonen er å anse som delvis avslag i forhold til det omsøkte.
Datatilsynets vedtak ble påklaget i brev av 9.11.2004. Klagen ble nærmere begrunnet i brev av 19.11.2004. Tilsynet anser klagen som rettidig fremmet.
Personvernnemnda mottok saken den 21.1.2005. Klager ble orientert om dette i brev fra nemnda datert samme dag.
3. Faktum
Konsesjonssøknaden gjelder opprettelse av et sammenstilt (koblet) forskningsregister, kalt ”forskningsfil”. FHI ønsker å bruke forskningsfilen som grunnlag for flere prosjekter i et ubegrenset tidsrom. Datatilsynet har gitt konsesjon til prosjektet under forutsetning av at opplysningene slettes etter fem år, og at utlevering til ekstern bruk krever ny konsesjon. Dette er påklaget av FHI.
Registeret innebærer en sammenstilling av to etablerte registre, Medisinsk fødselsregister og Dødsårsaksregisteret, og videre sammenstilling med fødelandsregister og utdanningsfil fra Statistisk sentralbyrå (SSB). Den registrerte pasientgruppen omfatter mor, far og barn som er registrert i Medisinsk fødselsregister fra 1967 og frem til i dag. Dette utgjør omtrent 2,2 millioner personer.
Fra Medisinsk fødselsregister ønsker FHI blant annet å behandle opplysninger om mors og fars fødselsdato, barnets fødselsdato og pluralitet (nummer i rekken dersom mor har flere barn). Fra Dødsårsaksregisteret ønsker FHI å behandle opplysninger om mors, fars og barnets dødsdato og dødsårsak. Fra SSBs fødelandsfil inngår data om mors og fars fødeland. Fra SSBs utdanningsfil ønsker FHI å behandle data om mors og fars siste avsluttede utdanning før fødselen, høyeste utdanning og barnets utdanning.
FHI ved øverste leder er databehandlingsansvarlig. Sammenstillingen av registrene er av FHI foreslått gjennomført ved at Medisinsk fødselsregister ved FHI sender en fil til SSB. SSB kobler fødelandskode og utdanningskode, og fra dødsårsaksregisteret tilkobles dødsdato og dødsårsak for mor, far og barn. SSB fjerner deretter personnumre og returnerer filen til Medisinsk fødselsregister. Fødselsdato på de registrerte blir ikke slettet. De aktuelle opplysninger er ikke basert på samtykke.
4. Anførslene
FHI anfører at Datatilsynet tolker bestemmelsene i helseregisterloven §§ 5 og 8 for snevert. Det fremgår av konsesjonen at Datatilsynet mener det er tvilsomt om tilsynet har myndighet til å gi konsesjon for omfattende og langvarige/permanente helseregistre av denne type, jf ovennevnte bestemmelser. FHI mener at tilsynet har kompetanse til å gi konsesjon i dette tilfellet.
FHI begrunner dette med at lovendringene i helseregisterloven har ført til at det nå er vanskeligere for forskningsenheter å opprette sentrale, landsomfattende registre. FHI gjør gjeldende at mens man tidligere kunne opprette slike registre med hjemmel i forskrift, kreves det etter lovendringene hjemmel i lov eller konsesjon. FHI anfører at Datatilsynets mulighet for å gi konsesjon etter helseregisterloven § 5 må være utvidet på grunn av dette. FHI er av den oppfatning at Datatilsynet fyller det oppståtte tomrommet som lovendringene har medført.
FHI ønsker å revitalisere forskningsfilen hver femte år. FHI anfører at årsaken til dette er at det åpner for muligheten til å følge endringer i dødelighet over tid. FHI mener at Datatilsynet har lagt en for snever tolkning til grunn da tilsynet konkluderer med at forskningsfilen er for omfattende til å eksistere utover et bestemt tidsrom. FHI mener at når man skal vurdere om et register er omfattende, må man ikke bare se på antallet registrerte og forskningsfilens geografiske utbredelse, men også på registerets sammensetning.
FHI mener at sammenstillingen av Medisinsk fødselsregister og Dødsårsaksregisteret skjer i medhold av Medisinske fødselsregisterforskrift § 3-2, jf Dødsårsaksregisterforskriften § 3-2. FHI anfører at opprettelsen av forskningsfilen ikke innebærer noen nye registreringer. Forskningsfilen vil ha kildefiler som omfattes av flere reguleringer, blant annet de to sistnevnte forskrifter. FHI anfører at disse forskriftene tillater opprettelsen av en slik avidentifiserbar forskningsfil som det her er tale om.
FHI anfører videre at forskningsfilen ikke utgjør noen form for personverntrussel. Forskningsfilen skal kun brukes til forskning. FHI anfører at filen ikke er sensitiv da den ikke blir brukt i direkte tilknytning til den registrerte. FHI mener at det må legges vekt på at dataene som inngår i forskningsfilen er avidentifisert. FHI bemerker i denne sammenheng at bruk av forskningsfiler alltid vil være ”registerforskning”, men de registrerte er aldri interessante som enkeltpersoner, kun som medlem av en gruppe. Dette gjelder selv om ett eller flere av kilderegistrene i utgangspunktet kan være opprettet ved en spørreundersøkelse eller lignende. Dette underbygger avidentifiseringen ytterligere.
FHI er av den oppfatning at opplysningene ikke kan være til ulempe for den registrerte, jf. personopplysningsloven § 8 litra f, jf §§ 9 1.ledd litra h og 11, 2.ledd. FHI gjør gjeldende at forhold som påvirker om opplysningene er til ulempe for den registrerte, er om den registrete har samtykket. FHI anfører at departementet sidestiller dispensasjon fra taushetsplikt med samtykke, jf departementets merknader til helseregisterloven § 8 i kap 15. I dette tilfellet har FHI fått dispensasjon fra taushetsplikt fra Sosial- og helsedirektoratet. FHI mener dermed at rettslig grunnlag for å få innvilget konsesjonen er oppfylt.
FHI gjør gjeldende at opprettelsen av forskingsfilen må ses i sammenheng med FHIs rolle i den medisinske, epidemiologiske forskningen. Det fremgår av folkehelsemeldingen (St.mld.nr.16 (2002-2003)) at helsemyndighetene har til hensikt å tilgjengeliggjøre data fra de sentrale helseregistrene og de store befolkingsundersøkelsene for forskning. Formålet til helsemyndighetene er blant annet å øke kunnskapsgrunnlaget på folkehelsefeltet. FHI anfører at den aktuelle forskningsfilen vil bidra til dette arbeidet.
Videre påklager FHI vilkåret i konsesjonen som angir at forskningsfilen ikke skal kunne utleveres eksternt med mindre mottakeren har konsesjon fra Datatilsynet. FHI anfører at erfaring viser at en rekke filer som er opprettet til et bestemt formål, også kan være svært nyttig i andre forskningssammenhenger på grunn av sitt generelle innhold. FHI er dermed opptatt av at forskningsfilen skal kunne brukes til flere prosjekter som alle defineres inn under en overordnet problemstilling.
FHI mener at det ved ekstern utlevering av forskningsfilen vil være tilstrekkelig med melding til Datatilsynet. Det henvises i denne forbindelse til at politikken med henhold til konsesjon versus melding også taler i favør av at melding bør være tilstrekkelig, jf personopplysningsforskriften § 7-27 og forslaget til endringer av denne.
Begrunnelsen for at melding bør være tilstrekkelig er at rutinene omkring slik utlevering ikke utgjør noen trussel mot personvernet. Ifølge FHI er det en klar forutsetning for forskningsregisteret at det ikke skal være mulig å identifisere opplysningene. Utlevering av forskningsfilen vil bare forekomme i tilfeller der forskeren ikke selv besitter opplysninger som gjør bakveisidentifikasjon mulig. Videre anføres det at koblingsnøkkelen vil bli oppbevart hos SSB. Det vil altså være umulig for forskeren å personidentifisere opplysningene. FHI vil også vurdere om forskeren har den kompetanse som kreves for å få utlevert opplysningene, og om forskeren har berettiget krav på informasjonen med henhold til taushetsplikt.
Forøvrig anmodet FHI Datatilsynet å innhente en vurdering fra Helse- og omsorgsdepartementet vedrørende grensedragningen mellom helseregisterloven §§ 5 og 8, før saken ble oversendt til Personvernnemnda.
5. Datatilsynets vurdering
Datatilsynet anfører at en sammenstilling av fire registre av den aktuelle karakter er omfattende, og at et slikt register representerer en betydelig personverntrussel.
Medisinsk fødselsregister og Dødsårsaksregisteret er to selvstendige registre som hver for seg er vurdert å måtte ha et klart rettsgrunnlag, jf helseregisterloven § 8. Datatilsynet mener at en sammenstilling av disse to registrene og tilføring av ytterligere opplysninger fra SSB, i tillegg til jevnlige oppdateringer og ubegrenset varighet, innebærer at forskningsfilen også er et selvstendig register som forutsetter hjemmel i helseregisterloven § 8. Tilsynet mener at dette gjelder uavhengig av om filen inneholder direkte identifiserbare eller avidentifiserte opplysninger.
Datatilsynet mener at dispensasjon fra taushetsplikten ikke bør vektlegges i denne saken. Tilsynet henviser til brevet fra Sosial- og helsedirektoratet, der direktoratet presiserer at dispensasjon fra taushetsplikt kun innvilges i enkeltprosjekter, og for en tidsbegrenset periode. Tilsynet gjør gjeldende at dette innebærer at finalitetsprinsippet, som er et sentralt utgangspunkt i personvernrelaterte vurderinger, også kommer til uttrykk i direktoratets vedtak.
Datatilsynet mener det er tvilsomt om tilsynet har myndighet til å gi konsesjon for omfattende og langvarige eller permanente helseregistre av denne type, jf helseregisterloven §§ 5 og 8. Nærmere begrunnelse for dette er at behandling av helseopplysninger kan være så inngripende for de registrerte at det stilles strenge krav til lovhjemmelens klarhet. Datatilsynet anfører i henhold til dette at lovens forarbeider uttaler at ”mindre omfattende helseregistre som avdekker en ikke spesielt sensitiv sykdomsgruppe” kan reguleres i konsesjon fra Datatilsynet. Videre heter det at ”[d]ette gjelder særlig hvis det er forutsatt at helseregisteret bare skal eksistere i kort tid”. På bakgrunn av dette har tilsynet satt som vilkår for konsesjonen at opplysningene må slettes etter fem år.
I henhold til konsesjonsvilkåret om at utlevering av forskningsfilen til ekstern bruk forutsetter at mottaker har konsesjon fra Datatilsynet, bemerker tilsynet at vilkåret ikke er ment å ha et annet innhold enn registerforskriftene § 3-5. I disse bestemmelsene er begrepet ”tillatelse” benyttet, og unntak fra konsesjonsplikten i personopplysningsforskriften § 7-27 kommer til anvendelse i den grad vilkårene er oppfylt. Datatilsynet finner ikke å kunne gi andre og særskilte unntak for prosjekter som benytter forskningsfilen som grunnlagsmateriale, da det ikke foreligger hjemmel for slik særbehandling. Slike unntak ville fort kunne fremstå som forskjellsbehandling til fordel for en stor statlig aktør.
FHIs anmodning om at det innhentes en vurdering fra Helse- og
omsorgsdepartementet vedrørende grensedragning mellom helseregisterloven §§ 5 og 8 før saken oversenders til Personvernnemnda, finner Datatilsynet ikke grunn til å imøtekomme.
6. Personvernnemndas vurdering
Personvernnemnda finner det naturlig å ta utgangspunkt i helseregisterloven § 8, 1.ledd:
”Det kan ikke etableres andre sentrale helseregistre med helseopplysninger enn det som følger av denne eller annen lov.”
Dette er en klar hovedregel. I forarbeidene (Ot prp nr 5 (1999-2000) Helseregistre og behandling av helseopplysninger (helseregisterloven))heter det i kommentarene til bestemmelsen at den er begrunnet bl a i ønsket om i forskrift å kunne kontrollere ”kvalitetssikring, styring og planlegging av helseforvaltningen og helsetjenesten, forskning og statistikk”. Det heter videre:
”Departementet vil påpeke at det er viktig å se sentrale og regionale helseregistre i sammenheng, slik at det ikke oppstår unødige interessekonflikter mellom ulike databehandlingsansvarlige. Dette er særlig viktig dersom formålene med registrene er nær sammenfallende, og der det samles inn samme opplysninger.
Myndigheten til å etablere sentrale helseregistre er lagt til Kongen i Statsråd. Dette innebærer at myndigheten ikke kan delegeres til departementet. Bestemmelsene skal videre gis ved forskrift. Dette betyr at saksbehandlingsreglene i forvaltningsloven, som bl.a setter krav til utredning av saken, krever forhåndsvarsling og gir berørte parter rett til å uttale seg om saken, kommer til anvendelse.
Departementet legger til grunn at store landsomfattende sentrale helseregistre bør reguleres i forskrift. Karakteristiske trekk ved slike helseregistre er at de behandler sensitive opplysninger om mange personer, og har hele landet som virkefelt. Videre forutsetter formålet med slike helseregistre at opplysningene skal lagres over lang tid.”
Det heter videre at ikke alle registre krever forskrift:
”Ikke alle helseregistre den sentrale helseforvaltning oppretter, vil kreve forskrift. Helseregistre med få og ikke spesielt sensitive helseopplysninger vil også kunne opprettes etter konsesjon fra Datatilsynet. Det samme gjelder helseregistre som ikke tar sikte på å eksistere i lang tid. En forutsetning for at helseopplysninger skal kunne innsamles til slike tidsbegrensede helseregistre er at den registrerte samtykker, med mindre det er gjort eller gjøres unntak for taushetsplikten i medhold av lov om helsepersonell § 29.”
Klager synes å mene at Datatilsynet i dette tilfellet har kompetanse til å etablere den aktuelle forskningsfilen gjennom konsesjon. Forutsetningen om unntak for taushetsplikten foreligger, men i tillegg må man da anse at filen inneholder ”få og ikke spesielt sensitive helseopplysninger” ettersom tidsbegrensningen på fem år er påklaget.
I dette tilfellet dreier det seg om et register som vil omfatte over to millioner registrerte. Det er åpenbart at det inneholder sensitive opplysninger, ved siden av helseopplysninger gjelder det ”fødeland” som vil være positivt korrelert med opplysning om rase eller etnisk bakgrunn, jfr personopplysningsloven § 2 nr 8 litra a. I forarbeidene er det brukt uttrykket ”spesielt sensitive helseopplysninger” – personopplysningsloven har ingen innbyrdes rangering av sensitivitet, men Personvernnemnda mener at enkelte av opplysningene må antas å kunne være spesielt sensitive. Klager har også bedt om at registret tillates uten tidsbegrensning. Registerets opplysninger blir i en viss grad avidentifisert, men fødselsdato beholdes og sammen med andre opplysninger (typisk fødeland og utdannelse) vil det i alle fall identifisere grupper.
Personvernnemnda legger vekt på at registeret vil inneholde opplysninger om en stor andel av befolkningen, at det vil inneholde opplysninger som er kvalifisert som sensitive av personopplysningsloven, og at klager ønsker å beholde registeret uten spesifisert avgrensning i tid. Til sammen mener Personvernnemnda at dette gjør det nærliggende å se på forskningsfilen som et register som faller utenfor den karakteristikk som forarbeidene gir av registre som ikke krever forskriftshjemmel etter loven.
Personvernnemnda nevner for ordens skyld at det er for snevert å vurdere om det foreligger en ”personverntrussel”. Selv om det ikke er grunnlag til å anta at det foreligger noen form for risiko for misbruk,så vil det like fullt være et behov for styring av den bruk som skal gjøres av registret, som forarbeidene fremhever. I en slik vurdering vil også personvernhensyn være sentrale.
Personvernnemnda har merket seg at det eksisterer en viss uenighet om hvor langt Datatilsynets kompetanse går i forhold til opprettelse av helseregister for forskning, se bl a Sverre Engelschiøn, Christine Lie Ulrichsen og Bjørn Nilsen Helseregisterloven – Kommentarutgave(Universitetsforlaget, Oslo 2002:75, jfr også s 79). Personvernnemnda legger imidlertid vekt på uttalelser i forarbeidene (pkt 8.2.6) om at helseregisterloven tar sikte på å styrke ”hjemmelsgrunnlaget for behandling av helseopplysninger i store, landsomfattende helseregistre”. Det synes derfor som lojalt å tolke loven slik at i tilfelle hvor det kan være tvil om Datatilsynet har kompetanse til å tillate et register ved konsesjon, så bør det tillegges betydelig vekt at lovens formål er angitt å være sikring av bl a kvalitet, styring og planlegging gjennom styrking av hjemmelsgrunnlaget. Hovedregelen i helseregisterloven § 8, 1.ledd skal sikre at etablering av sentrale helseregistre skjer av Kongen i statsråd, og ikke delegeres til f eks et departement. Det synes da enn mindre ønskelig å få en praksis hvor man tøyer Datatilsynets kompetanse og unndrar etableringen av registre fra den kontroll og politisk vurdering som loven har til hensikt å sikre.
For Personvernnemnda fremstår saken som et spørsmål om hvilken fremgangsmåte klager bør velge ved etablering av et slikt forskningsregister. Personvernnemnda mener at på bakgrunn av hovedregelen i helseregisterloven § 8, 1.ledd og uttalelsene i forarbeidene er det nærliggende å fremme forslag om et forskriftvedtak. Personvernnemnda kan ikke se at en slik fremgangsmåte fremstår som så tungvint eller byrdefull sammenlignet med konsesjon fra Datatilsynet at det i seg selv er tilstrekkelig begrunnelse for ikke å hjemle registeret i forskrift.
7. Vedtak
Klagen tas ikke til følge.
Oslo 9.8.2005
Jon Bing
Leder