Personvernnemndas avgjørelse av 2. september 2009 (Eva I. E. Jarbekk, Arve Føyen, Tom Bolstad, Leikny Øgrim, Ann Rudinow Sætnan, Jostein Halgunset, Ørnulf Rasmussen)
1 Innledning
Personvernnemnda har ved oversendelse fra Datatilsynet mottatt klage på tilsynets vedtak av 19.11.2008 om utvidelse samt forlengelse av konsesjon til å behandle helseopplysninger i forbindelse med ”Gjennombruddsprosjekt keisersnitt”. Konsesjon ble gitt under forutsetning at utvalget skulle få informasjon om koblingen og adgang til å reservere seg mot deltakelse.
2 Saksgang og faktum
Den norske legeforening startet prosjektet ”Gjennombruddsprosjekt keisersnitt” i 1999. Den aktive datainnsamlingen foregikk fra 1.12.1998 til 30.6.1999. Prosjektet fikk konsesjon 8.3.1999. Konsesjonen ble forlenget i tre omganger. Etter ikrafttredelsen av helseregisterloven ga Datatilsynet fornyet konsesjon i 2002 som ble forlenget flere ganger, siste gang til 31.12.2008.
Opplysningene som ble innhentet i forbindelse med prosjektet utgjør grunnlaget for keisersnittregisteret, som omfatter ca 3200 kvinner. Registeret inneholder avidentifiserte opplysninger. Opplysningene er hentet fra pasientjournaler, helsekort og operasjonsbeskrivelser.
Prosjektet er ikke basert på samtykke og det er heller ikke gitt informasjon om behandlingen til utvalget. Prosjektet har på grunn av feil og misforståelser verken hatt dispensasjon fra taushetsplikten eller tilråding fra Regional etisk komité. Helsedirektoratet har imidlertid fattet vedtak om dispensasjon fra taushetsplikt i brev av 31.3.2009.
Det ble i søknad av 16.11.2008 søkt om forlengelse av konsesjonen og om å koble keisersnittregisteret mot Medisinsk fødselsregister (MFR).
Datatilsynet ga 19.11.2008 konsesjon til utvidelsen og forlengelsen, men under forutsetning at utvalget skulle få informasjon om koblingen og adgang til å reservere seg mot deltakelse. Datatilsynet presiserte i brev av 13.1.2009 at informasjon først skal gis etter at koblingen av datamaterialet er gjennomført (fordi opplysningene i keisersnittregisteret er avidentifiserte) og at MFR må stå for informasjonen til utvalget før data utleveres. Vedtaket er således et delvis avslag på søknad om utvidelse av konsesjon.
Den norske legeforening påklaget vedtaket i brev datert 2.2.2009.
Personvernnemnda mottok saken fra Datatilsynet 25.5.2009. Klager ble orientert om dette i brev fra nemnda datert 27.5.2009, med frist til uttalelse innen 12.6.2009.
Klager uttalte seg i brev av 8.6.2009 med tre vedlegg.
3 Klagers anførsler
Legeforeningen har påklaget vedtaket om at utvalget skal informeres og gis adgang til å reservere seg mot deltakelse. Det anføres at det blir vanskelig å innhente samtykke til kobling fordi klager ikke har navn eller personnummer som i etterkant kan identifisere deltakerne. Ingen nye data samles inn. Det er kun tale om å koble allerede innsamlede data. Videre anføres det at arbeidsbyrden i MFR med å tilskrive over 3000 deltakere er for stor. Det vises til tidsbruk på 4-6 månedsverk og kostnader i størrelsesorden 3-400 000 kr. Det vises videre til Helsedirektoratets vurdering.
Det anføres også at forskriften om MFR ikke inneholder opplysninger om hvordan de fødende kvinnene skal informeres om at helseopplysninger fra mor/barn registreres i et sentralt fødselsregister. Informasjon om prosjektet og om opplysningene i MFR vil skape unødvendig mye støy. Å tilskrive pasienten ti år etter er uhensiktsmessig og kan være uheldig for den medisinske forskning. Forskningsetiske spørsmål vurderes annerledes i dag enn for ti år siden og dette skaper nyanser som det kan være vanskelig å forklare for publikum.
Det planlegges et nytt keisersnittregister i 2010/2011. Prosjektet vil ha sin egen protokoll, sine egne registreringsskjemaer og egne konsesjoner etter dagens regelverk.
4 Datatilsynets vurdering
Datatilsynet viser til at plikten til å søke konsesjon ved behandling av helseopplysninger er regulert i helseregisterloven § 5, jf personopplysningsloven § 33. Det følger av helseregisterloven § 5, 3. ledd at det skal foreligge samtykke fra den registrerte før helseopplysninger innhentes med mindre annet er bestemt i lov. Vedtak om dispensasjon fra taushetsplikt etter helsepersonelloven § 29 og forvaltningsloven § 13 bokstav d oppfyller dette kravet.
MFR inneholder personidentifiserende opplysninger om alle fødte i Norge og deres foreldre. Etter medisinsk fødselsregisterforskriftens § 3-5 kan personidentifiserende opplysninger fra Medisinsk fødselsregister bare behandles etter tillatelse fra Datatilsynet og i samsvar med regler om taushetsplikt.
Det følger av helseregisterloven § 5 at helseopplysninger bare kan behandles elektronisk dersom det er tillatt etter personopplysningsloven § 9 og § 33. Personopplysningsloven § 9, jf § 8, krever et behandlingsgrunnlag.
Da det verken foreligger samtykke fra den registrerte eller lovhjemmel, må det foretas en vurdering av om det finnes et annet behandlingsgrunnlag, jf personopplysningsloven § 8 bokstav d, jf § 9 bokstav h. Det må foretas en interesseavveining, hvor samfunnets behov for behandlingen holdes opp mot personvernkrenkelsen for den enkelte. Et grunnvilkår er at behandlingen er nødvendig.
Retten til informasjon om behandlingen av personopplysninger er en grunnleggende rettighet etter helseregisterloven §§ 20-24 og personopplysningsloven §§ 18-22. Unntak fra retten til informasjon er regulert i helseregisterloven § 24, 2. ledd. Legeforeningen har anført at varsling er ”umulig eller uforholdsmessig vanskelig”. Datatilsynet er uenig. Etter Datatilsynets oppfatning er arbeidsmengden verken særlig byrdefull, umulig eller uforholdsmessig vanskelig.
Helsedirektoratet har i dispensasjonen fra taushetsplikt vurdert søknaden dit hen at unntak fra informasjonsplikt kan gjøres gjeldende, jf helseregisterloven § 24, 2. ledd nr 2, med begrunnelsen at ”antall personer vil gjøre det uforholdsmessig vanskelig å varsle”. Datatilsynet er ikke enig i at antallet (3200 pasienter) alene gjør at vilkårene i helseregisterloven § 24, 2. ledd nr 2 er oppfylt. Vurderingen er imidlertid uten betydning i denne saken, fordi Datatilsynet etter helseregisterloven § 32 har adgang til å stille vilkår som må oppfylles for at behandlingen av helseopplysninger skal være i samsvar med loven. Datatilsynet anser det nødvendig at utvalget informeres for å kunne rettferdiggjøre videre behandling av materialet, jf personopplysningsloven § 8 bokstav d og § 9 bokstav h.
Datatilsynet er kommet til at utvalget må tilskrives med informasjon om prosjektet, samt gis adgang til å reservere seg. Det anses nødvendig å gi slik informasjon til utvalget for å oppfylle kravet til behandlingsgrunnlag. Kobling kan altså foretas, men det forutsetter at utvalget informeres om koblingen med MFR.
5 Personvernnemndas merknader
Personvernnemnda skal vurdere hvorvidt utvalget må informeres om koblingen med MFR og gis adgang til å reservere seg mot deltakelse. Det rettslige grunnlaget for informasjon er helseregisterloven §§ 20-24 og personopplysningsloven §§ 18-22. Spørsmålet i denne saken er om Legeforeningen kan påberope seg unntaket fra retten til informasjon i helseregisterloven § 24, 2. ledd nr 2. Unntaksbestemmelsen sier at den registrerte ”har ikke krav på varsel etter første ledd (…) dersom varsling er umulig eller uforholdsmessig vanskelig”.
Opplysningene er avidentifisert, ikke anonyme, ellers ville det ikke vært mulig å foreta en kobling. Anonyme opplysninger er ikke omfattet av personopplysningsloven. Slik nemnda forstår det skal man ved hjelp av MFR identifisere personene. Det er altså slik at det er ved koblingen personene blir gjenidentifisert. I denne saken er det tale om 3200 personer. Klager har anført at dette er så mange at det blir svært ressurskrevende å tilskrive samtlige. Til dette skal nemnda bemerke at det kan ikke være slik at hovedregelen ikke skal følges når det gjelder de manges personvern, men bare når det gjelder de fås personvern. Dette er et prinsipielt poeng som nemnda vil fremheve fordi det anføres stadig oftere at det er ”uforholdsmessig vanskelig” når det dreier seg om et større antall personer.
Etter nemndas oppfatning er 3200 personer ikke mange. Det er tvert imot tale om et ganske lite register i forhold til mange registre i Norge i dag. Videre vil nemnda bemerke at selve identifiseringsjobben skal gjøres uansett. Det er således bare tilskrivingen (informasjon) og eventuelt ventetiden (reservasjon) som krever ekstra ressurser.
Nemnda er kommet til at det ikke kan sies å være ”umulig eller uforholdsmessig vanskelig” for MFR å tilskrive 3200 personer. Unntaket i helseregisterloven § 24, 2. ledd kommer derfor ikke til anvendelse. Personene har rett til informasjon om koblingen, jf helseregisterloven § 24, 1. ledd. Helsedirektoratet har gitt dispensasjon fra taushetsplikten, derfor kreves ikke samtykke for å utlevere opplysningene.
Nemnda er kommet til samme konklusjon som Datatilsynet. Datatilsynets vedtak skal derfor opprettholdes.
6 Vedtak
Klagen tas ikke til følge. Datatilsynets vedtak opprettholdes.
Oslo, 2. september 2009
Eva I. E. Jarbekk
Leder