Personvernnemndas avgjørelse av 15. juni 2009 (Eva I. E. Jarbekk, Arve Føyen, Tom Bolstad, Leikny Øgrim, Ann Rudinow Sætnan, Svein-Erik Ekeid, Ørnulf Rasmussen)
1 Innledning
Personvernnemnda har ved oversendelse fra Datatilsynet mottatt klage fra Norsk samfunnsvitenskapelig datatjeneste AS (NSD) og St Olavs Hospital på tilsynets vedtak (delvis avslag på søknad om endring av konsesjon) av 14.1.2009.
2 Saksgang og faktum
Datatilsynet mottok søknad om prosjekt ”15961 Plasmakonsentrasjon av asymmetrisk dimetylarginin (ADMA) hos nyresviktpasienter i relasjon til progresjon av nyresvikt, utvikling av kardiovaskulære hendelser og død – II”. Prosjektet er todelt. Del I er samtykkebasert. Det er søkt om å koble denne delen av utvalget opp mot opplysninger i Dødsårsaksregisteret i prosjektets del II. Utvalget består av ca 200 personer med nyresvikt. I følge søknaden vil bare noen få dø i løpet av prosjektperioden.
Prosjektet har hatt konsesjon fra Datatilsynet frem til 1.1.2010. I Datatilsynets konsesjon av 5.2.2007 ble det gitt adgang til å koble opp mot Dødsårsaksregisteret, forutsatt at utvalget ble informert om denne koblingen. En slik kobling har ikke skjedd per i dag. I søknad av 18.12.2008 ble det søkt om konsesjon til å foreta en slik kobling uten å informere utvalget. Det blir anført at slik informasjon vil kunne oppleves svært belastende for utvalget.
Datatilsynet ga i konsesjon av 14.1.2009 delvis avslag på søknaden. Kravet om informasjon etter helseregisterlovens §§ 20, 23 og 24 ble opprettholdt.
I brev av 25.2.2009 klager NSD på Datatilsynets avgjørelse.
Personvernnemnda mottok saken fra Datatilsynet 20.3.2009. Klager ble orientert om dette i brev fra nemnda datert 26.3.2009, med frist til uttalelse innen 15.4.2009. Klager har ikke kommet med kommentarer innen fristen.
3 Klagers anførsler
Klager anfører at unntaksbestemmelsen i helseregisterloven § 25, 2. ledd nr 3 er oppfylt i denne saken. Klager er enig med Datatilsynet i at en naturlig forståelse av ”utilrådelig” tilsier at en del momenter må være til stede for at unntaket skal komme til anvendelse. Klager mener at vilkårene er oppfylt her, både sett i forhold til tolkning av vurderingstema i bestemmelsen og tidligere praksis.
Ordlyden i helseregisterloven § 25, 2. ledd nr 3 er identisk med personopplysningsloven § 23, 1. ledd bokstav c. I kommentarutgaven til personopplysningsloven står det at unntakene må baseres på et faglig skjønn i det enkelte tilfelle. Dette står også i Datatilsynets veileder om forskning.
Hva som er utilrådelig er et skjønnsspørsmål som i hovedsak skal vurderes av personer med faglig kompetanse på området. Det er ikke bare den registrertes reaksjon på opplysningene som må tas i betraktning, men også hvordan den registrerte vil kunne reagere på at opplysningene benyttes/utleveres til det aktuelle forskningsprosjektet. I Datatilsynets veileder står det at ”Det må foretas en konkret vurdering knyttet til det enkelte tilfellet med et faglig utgangspunkt. Vurderingstemaet er hvorvidt den enkelte vil oppleve det som belastende å få informasjonen, og hvordan vedkommende vil kunne reagere på at det foreligger informasjon som han eller hun ikke får kunnskap om”.
Dette støttes også av Frihagen som i ”Forvaltningsrett” skriver på s 148 at ”I fullmakten til å unnta opplysninger etter § 19 må det således også ligge en viss plikt til å bruke unntaksadgangen etter en nærmere bedømmelse av hvilke interesser som står på spill, og hvilke behov det er for innsyn sett i forhold til skaden og skademulighetene ved spredning av opplysningene”. Videre anfører Frihagen at ”Unntaket dekker først og fremst medisinske opplysninger om parten selv som det ut fra en medisinsk vurdering kan være skadelig for ham å få” (s 151).
I dette prosjektet består utvalget av personer med nyresvikt i alderen 18 – 80+. Det er utilrådelig å gi informasjon om kobling til Dødsårsaksregisteret fordi det er en påminnelse om deltakernes sykdoms mulige alvorlighetsgrad og dermed en bevisstgjøring av muligheten for en tidlig død. Prosjektleder er lege og vurderer det slik at å kontakte pasientene nå med informasjon om kobling til Dødsårsaksregisteret vil påføre dem en unødvendig belastning som ikke kan tilrådes. Det er spesielt vanskelig å gå ut med informasjonen om Dødsårsaksregisteret fordi ordet ”død” vil lyse mot dem uansett hvilken annen informasjon som gis samtidig. Pasientene er en gruppe kronisk syke pasienter med betydelig økt dødelighet sett under ett. Dette er de klar over og det er et sårbart tema for mange. Det er overhyppighet av depresjon og pasienter med kronisk nyresvikt er spesielt sårbare fordi mange av dem er unge. Å spesifisere kobling til Dødsårsaksregisteret vil føre til unødvendig økt engstelse og ytterligere bekymring for gruppen.
Prosjektet er forelagt Regional komité for medisinsk og helsefaglig forskningsetikk (REK), som deler prosjektleders vurdering. REK viser også til at pasientene har samtykket til studien.
Skademulighetene for gruppen ved at informasjon gis jamfør de faglige uttalelsene må anses som betydelig større enn deltakernes nytteverdi av informasjonen. Deltakerne har allerede alle muligheter til å ivareta sine rettigheter og kan for eksempel trekke seg dersom de måtte ønske det.
Den samfunnsmessige og vitenskapelige interessen for at prosjektet kan gjennomføres som planlagt med kobling til Dødsårsaksregisteret er stor.
Helsedirektoratet har gitt dispensasjon fra taushetsplikten for å koble opplysninger til Dødsårsaksregisteret. Det ble opplyst i søknaden at prosjektet var samtykkebasert, men at kobling til Dødsårsaksregisteret skulle gjøres uten informasjon. Helsedirektoratet ga dispensasjon uten å pålegge informasjonsplikt.
Det vises også til to saker der Datatilsynet har godkjent fritak fra informasjonsplikten etter helseregisterloven § 25, 2. ledd nr 3. Sakene gjaldt pasienter med nyresvikt, noe som viser at denne deltakergruppen er utsatt.
4 Datatilsynets vurdering
Datatilsynet viser til at den aktuelle studien er basert på samtykke fra den registrerte. Et samtykke er definert i helseregisterloven § 2 nr 11 som en frivillig, uttrykkelig og informert erklæring fra den registrerte om at han eller hun godtar behandlingen av helseopplysningene. Rett til informasjon om behandling av helseopplysninger er en grunnleggende rettighet etter helseregisterloven §§ 20 – 24 og personopplysningsloven §§ 18 – 22. Lovgivningen oppstiller enkelte unntak fra informasjonsplikten, jf helseregisterloven § 25, 2. ledd nr 3. Det følger av denne bestemmelsen at rett til innsyn og informasjon ikke omfatter opplysninger som ”det anses utilrådelig at den registrerte får kjennskap til, av hensyn til vedkommendes helse eller forholdet til personer som står vedkommende nær. Bestemmelsen er likelydende med personopplysningsloven § 23, 1. ledd bokstav c, samt forvaltningsloven § 19, 1. ledd bokstav c. Hensynet bak bestemmelsen i forvaltningsloven er:
”En har vært redd for at partsoffentlighet kan gjøre det vanskelig for myndighetene å få private leger til å gi fyldige legeerklæringer til bruk for saksbehandlingen. Dessuten kan det være skadelig for parten å få nærmere opplysninger om sykdommen – for eksempel fordi han kan få psykisk sjokk eller begå selvmord om han får vite at han lider av en uhelbredelig sykdom” (Frihagen ”Forvaltningsrett” s 475). I følge Ot prp nr 27 (1968-69) s 43 er det særlig tenkt på saker som behandles etter barnevernloven og lov om sosial omsorg.
Hva som anses som utilrådelig å gi informasjon om må baseres på et faglig skjønn. Forvaltningen må imidlertid foreta en selvstendig vurdering av om vilkåret er oppfylt. Eckhoff/Smith, Forvaltningsrett, 6 utg, s 490-491 skriver at:
”Hva som er ”utilrådelig” å la vedkommende få vite, er naturligvis et skjønnsspørsmål, og forvaltningen bør nok være varsom med å anvende denne unntaksregelen. Det bør for eksempel ikke alltid legges avgjørende vekt på om en lege har uttalt at parten ikke bør se hans erklæring. Til tross for at leger ikke har taushetsplikt overfor pasienter om det de har funnet ut om dem, har de undertiden en tendens til å holde hemmelig mer enn det er grunn til. I en forvaltningssak bør det herske en annen ånd enn i lege-pasient-forhold. Vedkommende skal ikke her først og fremst betraktes som en pasient, men som en part som har rett til selv å opptre aktivt for å forsvare sine interesser”.
Datatilsynet har godtatt unntak fra informasjonsplikt i enkelte tilfeller. I en sak gjaldt det kobling mot Dødsårsaksregisteret i terminalfasen, som vil være belastende. Den andre saken gjaldt et utvalg på 170 personer hvor kun et lite mindretall av pasientene var i live. Noen av pasientene var svært medtatte av sykdommen og enkelte hadde redusert samtykkekompetanse.
Datatilsynet er enig med klager i at vurderingen av ”utilrådelig” bør baseres på et faglig skjønn. Som forvaltningsorgan må imidlertid Datatilsynet foreta en selvstendig vurdering av om vilkåret er oppfylt. Da må det legges vekt på hva fagpersoner har uttalt, men dette vil ikke alene være avgjørende.
Klagesaken gjelder et utvalg pasienter i alderen 18 til 80+ som har nyresvikt. Bare noen få vil dø i løpet av prosjektperioden. Utvalget er ikke i terminalfasen og samtlige vet at de har en kronisk sykdom. Det faktum at det er vanskelig å forutse sykdomsforløpet, at pasienter har overhyppighet av depresjon, samt at opplysninger om at det finnes et register over dødsårsaker og at det skal foretas en kobling opp mot dette registeret kan medføre engstelse, er etter tilsynets vurdering momenter som vil gjøre seg gjeldende for mange kroniske sykdommer. Momentene vil etter Datatilsynets vurdering ikke være tilstrekkelige til at det må anses som ”utilrådelig” å gi pasientene informasjon om koblingen. Etter Datatilsynets syn er vilkåret i helseregisterloven § 25, 2. ledd nr 3 ikke oppfylt. Unntaksbestemmelsen legger ikke opp til behovsprøving av retten til informasjon, ei heller en interesseavveining av retten til informasjon holdt opp mot samfunnsinteressen i at prosjektet gjennomføres. Retten til innsyn, samt plikten til å gi informasjon gjelder uavhengig av hva som er bakgrunnen for at den enkelte ber om innsyn.
Tilsynets konklusjon er at en kobling med Dødsårsaksregisteret kan skje forutsatt at utvalget informeres om koblingen.
5 Personvernnemndas merknader
Personvernnemnda tok først opp spørsmålet om medlem i nemnda Jostein Halgunset er inhabil i denne saken. Klager er St Olavs Hospital. Jostein Halgunset er ansatt i en bistilling ved St Olavs Hospital. Nemnda diskuterte det forhold at Jostein Halgunset har en bistilling og Halgunset valgte å fratre behandlingen av denne saken. Varamedlem Svein-Erik Ekeid trådte inn i stedet.
I denne saken er det blitt søkt om endring av konsesjonen for å gjennomføre kobling mot Dødsårsaksregisteret uten å måtte informere pasientene i utvalget. Datatilsynet har innvilget konsesjon, men opprettholder kravet om at pasientene må bli informert om koblingen. Klager har påklaget vedtaket, og ønsker å koble mot Dødsårsaksregisteret uten at pasientene blir informert om dette.
Helseregisterloven krever at pasienter får informasjon om at opplysninger om vedkommende samles inn, jf helseregisterlovens §§ 23 og 24. Denne varslingsplikten er en pasientrettighet. Rettighetene følger også av personopplysningsloven §§ 18 – 22.
Klager har påberopt unntaksregelen i helseregisterloven § 25, 2. ledd nr 3. Etter denne bestemmelsen kan behandlingsansvarlig la være å informere den registrerte om behandling av personopplysninger etter visse kriterier. Unntaksregelen som påberopes i denne saken lyder:
Retten til innsyn etter §§ 21 og 22 annet ledd og plikten til å gi informasjon etter §§ 20, 23 og 24, omfatter ikke opplysninger som (…) 3. det må anses utilrådelig at den registrerte får kjennskap til, av hensyn til vedkommendes helse eller forholdet til personer som står vedkommende nær (…)
Det nemnda skal vurdere, er hvorvidt informasjon til pasientene om at det skal foretas en kobling mot Dødsårsaksregisteret er ”utilrådelig”, det vil si om dette er en opplysning som kan påføre den registrerte alvorlig skade om den blir kjent for vedkommende.
Personvernnemnda er enig i at tolkning av begrepet ”utilrådelig” må ta utgangspunkt i et faglig skjønn, men dette er ikke avgjørende selv om det er av betydning.
Etter Personvernnemndas syn er dette en snever unntaksregel. Hovedregelen er at pasienten skal varsles og fare for at pasienten kan engste seg for døden kan ikke på generelt grunnlag medføre at informasjon utelates. Slik nemnda ser det, er denne saken annerledes enn de to sakene hvor Datatilsynet brukte unntaksregelen. I den ene saken skulle det skje en kobling mot Dødsårsaksregisteret i terminalfasen, noe som vil være belastende. I den andre saken var kun et lite mindretall av pasientene i live. I denne saken derimot, er det tale om et utvalg mellom 18 og 80+ år hvor kun et fåtall vil dø i løpet av prosjektperioden. Utvalget består av mennesker som lever med en kronisk nyresykdom, og som er fullt informert om dette, men som statistisk sett mest sannsynlig vil dø av andre årsaker enn nyresvikt.
Nemnda er enig med Datatilsynet i at pasientene må informeres om koblingen. Nemnda legger til grunn at informasjonen kan inneholde opplysninger som kan avhjelpe det belastende element i situasjonen. Det er ikke krav om samtykke, bare informasjon. Nemnda kan ikke se at klagers argumenter for å ikke varsle utvalget er tungtveiende nok til å oppfylle vilkåret i helseregisterloven § 25, 2. ledd nr 3. Nemnda er derfor kommet til at kravet om informasjon etter helseregisterlovens §§ 20, 23 og 24 må opprettholdes.
6 Vedtak
Klagen tas ikke til følge.
Oslo, 15. juni 2009
Eva I. E. Jarbekk
Leder