Personvernnemndas avgjørelse av 18. desember 2012 (Eva I. E. Jarbekk, Arve Føyen, Ørnulf Rasmussen, Tom Bolstad, Leikny Øgrim, Gisle Hannemyr, Jostein Halgunset)
1 Innledning
Personvernnemnda har ved oversendelse fra Datatilsynet mottatt klage på Datatilsynets avvisning av å behandle Kreftregisterets søknad om konsesjon til å behandle negative funn ved mammografiscreening uten samtykke fra den registrerte.
2 Saksgang
Kreftregisteret har søkt om konsesjon til å behandle personopplysninger i forbindelse med kvalitetssikring av Mammografiprogrammet. Søknaden gjaldt behandling av opplysninger om personer med negative funn i programmet, det vil si personer som er undersøkt uten at det er påvist kreft eller forstadier til kreft. Kreftregisteret ba om at de opplysninger inkluderes i kvalitetssikringen, i medhold av personopplysningslovens bestemmelser, uten etter den enkeltes samtykke, og uten hensyn til om vedkommende reserverer seg mot behandling i Kreftregisteret.
Kreftregisteret viste i den forbindelse til at det ikke er mulig å gjennomføre en tilfredsstillende kvalitetssikring av screeningprogrammene uten at det behandles opplysninger om alle screenede.
Datatilsynet avviste å ta saken opp til behandling, jf tilsynets brev av 4.6.2012. Tilsynet la i den forbindelse til grunn at den aktuelle behandlingen er særskilt regulert av helseregisterloven jf kreftregisterforskriften § 1-9, og at saken er endelig avgjort med Personvernnemndas avgjørelse i sak PVN-2009-06. Tilsynet viste også til de signaler som er gitt av Helse- og omsorgsdepartementet i forbindelse med dets forslag til endringer i kreftregisterforskriften.
Kreftregisteret påklaget Datatilsynets avvisning, i brev av 21.6.2012. Saken ble oversendt Personvernnemnda 20.8.2012, som mottok saken 22.8.2012. Klager ble orientert om dette i brev fra nemnda datert 29.8.2012, med frist til uttalelse innen 15.9.2012. Klager ba om utsatt klagefrist til 20.9.2012 og nemnda innvilget dette.
Klager kommenterte både sak PVN-2012-11 og PVN-2012-12 i brev av 19.9.2012.
3 Faktum
Saken dreier seg om hvorvidt Kreftregisteret kan få konsesjon til å registrere negative funn ved mammografiscreening, uten samtykke fra den registrerte, til kvalitetssikringsformål.
4 Klagers anførsler
Klager har kommentarer til Datatilsynets fremstilling av saken i fellesbrev for sakene PVN-2012-11 og PVN-2012-12. For så vidt gjelder Mammografiprogrammet, kommenterer klager at Datatilsynet fattet et pålegg 17.3.2009, og Personvernnemnda fattet en endelig avgjørelse senere i 2009 (PVN-2009-06). I tråd med dette er samtykke innhentet fra kvinner med negative funn i Mammografiprogrammet og opplysninger om kvinner som ikke har avgitt samtykke er slettet fra Kreftregisterets databaser. Pålegget ble oppfylt innen fristen 31.12.2011.
Slik driften fungerer i dag, beholder Kreftregisteret kun data inkludert data for forrige screening på kvinner med negative funn som har avgitt samtykke. Disse dataene kan lovlig oppbevares i Kreftregisteret. For kvinner som ikke har avgitt samtykke, kan Kreftregisteret ikke behandle data med hjemmel i gjeldende kreftregisterforskrift. I praksis fikk dette den konsekvens at en rekke databaser ble slettet i Kreftregisteret i desember 2011. Driftsmessig er dette en utfordring, da det er nødvendig med data for en tidligere screening for å kunne invitere kvinner til neste screening to år senere. Kvinner som ikke har avgitt samtykke, blir nå likevel invitert til screening omtrentlig hvert annet år, men Kreftregisteret inviterer dem da omtrent på det tidspunktet hvor andre kvinner i kommunene inviteres. I praksis behandler Kreftregisteret kvinner uten samtykke som nyinnflyttede kvinner i kommunen, slik at disse ikke blir koblet mot negative funn. Kreftregisteret har altså funnet en løsning for å invitere alle kvinner til mammografi, selv om registeret ikke lenger oppbevarer data for siste negative screening på de kvinner som ikke har samtykket.
Helseforetakene er på sin side pliktige til å oppbevare data fra alle kvinner som undersøkes med hjemmel i helsepersonelloven og pasientjournalforskriften. Helseforetakene har vært i den tro at det har vært tilstrekkelig at opplysningene har vært oppbevart i Kreftregisteret. I løpet av 2011 ble det klart at det ikke lot seg gjøre å overføre data om kvinner som Kreftregisteret var pålagt å slette, til de ulike helseforetakene. Med fare for at dataene ville gå tapt dersom ikke helseforetakene fikk disse overført, og med de konsekvenser dette ville ha for pasientene, fant personvernombudet, i samråd med juridisk ekspertise ved Helse Sør-øst og Datatilsynet, at for å forhindre at helseforetakene begikk lovbrudd, var det behov for å legge til rette for en midlertidig løsning hvor Kreftregisteret fikk lovlig adgang til å oppbevare journaldataene på vegne av helseforetakene. Det ble derfor inngått egne databehandleravtaler mellom Kreftregisteret som databehandler og det enkelte foretak som behandlingsansvarlig, slik at dataene ikke ble slettet. Situasjonen er at Kreftregisteret ikke har tilgang til disse dataene, og som anført ovenfor, er de heller ikke nødvendige for drift av screeningprogrammene.
Utfordringen er at mammografiscreening, som er et helsetilbud til alle norske kvinner mellom 50 og 69 år, kun kan kvalitetssikres av Kreftregisteret. Det lar seg ikke gjennomføre ved at dette gjøres av det enkelte helseforetak ettersom tallmaterialet ville bli for lite. Hele 85 % av kvinnene har avgitt samtykke, og data fra disse kvinnene har Kreftregisteret hjemmel for å benytte til kvalitetssikring. Problemet er at Kreftregisteret ikke har samtykke fra 100 %. Kreftregisteret søkte derfor våren 2012 Datatilsynet om konsesjon til å få utlevert data fra helseforetakene for å drive det man anser som nødvendig og saklig begrunnet kvalitetskontroll av helsetilbudet. Dataene det er snakk om å få utlevert til kvalitetssikringsformålet, dreier seg altså om data som oppbevares lovlig av Kreftregisteret som databehandler på vegne av helseforetakene. Det er ikke riktig at disse oppbevares ulovlig i Kreftregisteret i strid med kreftregisterforskriften.
Det virker som at fordi Kreftregisteret på et tidligere tidspunkt har oppbevart de omsøkte dataene uten hjemmel, blir det nå blir brukt som argument for at Datatilsynet er avskåret fra å behandle en ny søknad om å innhente lovlig oppbevarte data fra helseforetakene til det omsøkte formål. Klager mener Datatilsynets avgjørelse er basert på feil lovanvendelse, og at tilsynet skulle ha behandlet konsesjonssøknaden.
Kreftregisteret har søkt om konsesjon til å behandle personopplysninger i forbindelse med kvalitetssikring av Mammografiprogrammet, herunder opplysninger om personer med negative funn.
Datatilsynet later til å mene at helseregisterloven § 5 (2) er til hinder for at tilsynet kan behandle konsesjonssøknaden. Kreftregisteret er ikke enig i Datatilsynets lovforståelse, og mener denne bestemmelsen ikke kan anvendes i dette tilfellet, nettopp fordi den omsøkte behandling ikke er regulert i kreftregisterforskriften. Kreftregisteret mener derfor at man må falle tilbake på hovedregelen i helseregisterloven § 5 (1), og at Datatilsynet har kompetanse til å behandle konsesjonssøknaden.
Kreftregisterforskriften inneholder bestemmelser om hvilke helseopplysninger Kreftregisteret kan inneholde, jf forskriften § 1-2. Bestemmelsens tredje ledd omhandler helseopplysninger om personer som har deltatt i undersøkelsesprogram for tidlig diagnose og kontroll for kreftsykdom (screeningundersøkelser). Forskriften § 1-9 (1) angir nærmere hvilke kategorier opplysninger Kreftregisteret kan inneholde om personer som har deltatt i screeningundersøkelser. Kreftregisteret og Datatilsynet er enige i at forskriften må forstås slik at Kreftregisteret ikke har hjemmel til å registrere opplysninger om kvinner ved negativt funn permanent i Kreftregisteret uten samtykke. Dette følger direkte av kreftregisterforskriften § 1-9 (2), jf § 1-2 (3).
Screeningundersøkelsene er et offentlig frivillig helsetilbud til befolkningen, som driftes av Kreftregisteret. For å kunne gjennomføre en forsvarlig kvalitetskontroll av helsetilbudet, herunder vite om helsetilbudet har fungert etter sin hensikt, er det nødvendig å behandle nærmere angitte opplysninger som ikke omfattes av kreftregisterforskriften § 1-9 (1). Ettersom kreftregisterforskriften ikke gir tilstrekkelig hjemmel, har Kreftregisteret funnet at det er nødvendig å søke konsesjon, jf. helseregisterloven § 5 (1), hvor det heter:
Helseopplysninger kan bare behandles elektronisk når dette er tillatt etter personopplysningsloven §§ 9 og 33, eller følger av lov og behandlingen ikke er forbudt ved annet særskilt rettsgrunnlag.
Klager mener det ligger innenfor Datatilsynets kompetanse å behandle konsesjonssøknaden.
Til sammenligning kan opplyses at Kreftregisteret har fått forhåndsgodkjennelse fra REK til å innhente alle relevante opplysninger fra pasientjournalene om kvinner med negative funn til evaluering av Mammografiprogrammet med hjemmel i helseforskningsloven, jf helseregisterloven § 5 (1) "følger av lov". Ettersom det her dreier seg om saklig begrunnet kvalitetssikringsformål, som en naturlig del av et helsetilbud, og ikke forskning, vil konsesjon etter klagers vurdering være nødvendig og tilstrekkelig.
Det understrekes at opplysningene som det søkes konsesjon til å behandle, ikke oppbevares i Kreftregisteret med hjemmel i kreftregisterforskriften, men i pasientjournalene med hjemmel i helsepersonelloven og journalforskriften. Det er derfor ingen aktuell problemstilling slik Datatilsynet hevder, at behandling av opplysninger til kvalitetssikringsformålet vil være i strid med kreftregisterforskriften § 1-9 eller i strid med Personvernnemndas tidligere avgjørelse som retter seg mot Mammografiprogrammet.
Datatilsynets anførsel om at kvalitetssikringen må sees i sammenheng med den øvrige behandling, kan ikke brukes som argument mot at Kreftregisteret må ha et nødvendig behandlingsgrunnlag for å foreta en kvalitetskontroll av helsetjenesten.
Kreftregisteret mener at Datatilsynets påstand om at en konsesjon til å behandle de omsøkte opplysninger til kvalitetssikringsformål er i strid med lovgivers intensjoner og de signaler som er gitt i forslag om endringer i kreftregisterforskriften, ikke kan være riktig, og må være basert på en misforståelse. Det kan umulig ha vært lovgivers intensjon at kreftregisterforskriften skal være til hinder for at dette helsetilbudet som tilbys alle norske kvinner i alderen 50 - 69 skal kunne kvalitetssikres. Det kan heller ikke ha vært lovgivers intensjon at Kreftregisteret ikke skal kunne oppnå konsesjon til behandlingen, fordi forholdet ikke er regulert i kreftregisterforskriften.
Datatilsynets henvisning til departementets forslag om endringer i kreftregisterforskriften som ble lagt frem 21.12.2011, er etter vår vurdering ikke relevant i denne sammenheng. Departementets forslag retter seg mot selve behandlingsgrunnlaget vedrørende opplysninger om negative funn (fra samtykke til reservasjon). Det gjøres og oppmerksom på at departementets forslag til endringer i kreftregisterforskriften ble lagt frem på et tidspunkt da Kreftregisteret (og muligens departementet) oppfattet det slik at kvalitetssikring av mammografiprogrammet nettopp ville være mulig via konsesjon fra Datatilsynet. Dette vil derfor ikke ha noen betydning for det prinsipielle, nemlig Kreftregisterets behov for gyldig behandlingsgrunnlag til kvalitetssikringsformålet som omfattes av den aktuelle konsesjonssøknaden.
Det er Kreftregisterets vurdering at det ideelle ville være at den omsøkte behandlingen var uttrykkelig regulert i kreftregisterforskriften. I tilknytning til departementets endringsforslag som Datatilsynet viser til, har Kreftregisteret problematisert dette. Det vises særlig til punkt 2 i Kreftregisterets høringssvar til departementet datert 28.2.2012 hvor Kreftregisteret redegjør nærmere for kvalitetssikringsbehovet. Klager mener dette er irrelevant i denne sammenheng, fordi problemstillingen p.t. er at et hjemmelsgrunnlag som foreslått fra vår side, ikke fremgår av gjeldende forskrift, og det er nettopp derfor klager har funnet grunn til å søke om konsesjon.
Kreftregisteret er av den oppfatning at det er konsesjon er nødvendig og tilstrekkelig for den omsøkte behandlingen, og at dette ligger innenfor Datatilsynets myndighet, jf helseregisterloven § 5 (1). Kreftregisteret anmoder nemnda om å fatte et vedtak som innebærer at Datatilsynet plikter å realitetsbehandle konsesjonssøknaden.
5 Datatilsynets vurdering
Datatilsynet har oversendt to saker til klagebehandling i Personvernnemnda. Begge sakene springer ut av Datatilsynets kontroll med Kreftregisterets behandling av personopplysninger i forbindelse med de såkalte screeningprogrammene. Hovedproblemstillingen i begge sakene er hvorvidt Kreftregisteret kan behandle opplysninger fra personer med negative funn i screeningprogrammene, uten deres samtykke. Personvernnemnda har tidligere behandlet dette spørsmålet, for mammografiscreeningens vedkommende, jf PVN-2009-06. Datatilsynet har avvist en anmodning fra Kreftregisteret om å ta saken opp til ny behandling, idet spørsmålet er endelig avgjort med nevnte nemndsavgjørelse. Tilsynet har videre lagt til grunn at nemndas avgjørelse uansett gjenspeiler gjeldende rett, hvoretter behandlingen skal baseres på de registrertes samtykke. Dersom tilsynet hadde tatt saken opp til behandling ville Kreftregisterets anmodning måtte avslås.
Datatilsynet mener at helseregisterloven og kreftregisterforskriften i dag gir anvisning på et ufravikelig krav om samtykke fra de registrerte, og at tilsynet mangler kompetanse til å treffe vedtak i strid med gjeldende regelverk. Datatilsynet kan ikke se at Kreftregisterets klage har medført endringer i tilsynets vurderinger. Tilsynet fastholder således at den aktuelle behandlingen reguleres av helseregisterloven og kreftregisterforskriften, slik at tilsynet er avskåret fra å gi konsesjon i medhold av personopplysningslovens bestemmelser. Videre fastholder tilsynet at helseregisterloven oppstiller et krav om samtykke for den aktuelle behandlingen, jf Personvernnemndas avgjørelse. Dette betyr at tilsynet ikke har kompetanse til å gi tillatelse til at behandlingen kan skje uten etter samtykke. Tilsynet fastholder endelig at denne saken er endelig avgjort med Personvernnemndas avgjørelse PVN-2009-06.
Datatilsynet har for sin avgjørelse lagt til grunn at helseregisterloven og kreftregisterforskriften regulerer Kreftregisterets adgang til å behandle personopplysninger om kvinner med negative funn i forbindelse med screeningprogrammene. Datatilsynet mener at kvalitetssikringen ikke kan vurderes isolert, men må ses i sammenheng med den øvrige behandling av personopplysninger som skjer i forbindelse med screeningprogrammene. Det vises til at kvalitetssikringsformålet springer ut av Kreftregisterets ansvar for drift av screeningprogrammene, slik dette er fastsatt gjennom kreftregisterforskriften. Sammenhengen i regelverket taler altså for at også kvalitetssikringen av screeningprogrammene må vurderes etter bestemmelsene i helseregisterloven og kreftregisterforskriften.
Datatilsynet vil videre vise til at Helse- og omsorgsdepartementet har lagt frem forslag om endringer i kreftregisterforskriften, for å erstatte gjeldende samtykkekrav i forskriften § 1-9 med en reservasjonsadgang. Tilsynet mener at forslaget reflekterer det forhold at nettopp helseregisterloven og kreftregisterforskriften regulerer Kreftregisterets behandling av opplysninger om personer med negative funn.
I tillegg vil tilsynet peke på at departementets forslag innebærer en reservasjonsadgang for kvinner med negative funn. En konsesjon som gir tillatelse til at opplysninger om alle screenede allikevel skal behandles uten slik reservasjonsadgang, vil etter tilsynets oppfatning være i direkte strid med lovgivers intensjoner.
Datatilsynet har endelig lagt til grunn at en konsesjon i henhold til personopplysningslovens bestemmelser, hvoretter tilsynet gir Kreftregisteret tillatelse til å behandle opplysninger om personer med negativt funn for kvalitetssikringsformål, vil være i strid med Personvernnemndas avgjørelse i sak PVN-2009-06. Personvernnemndas fastslo der at Kreftregisteret etter gjeldende rett må innhente samtykke til behandling av opplysninger om kvinner med negative funn, og at opplysninger om de som ikke samtykker må slettes eller anonymiseres fortløpende. Dersom tilsynet innvilger Kreftregisterets søknad vil konsekvensen bli at opplysninger om personer med negative funn allikevel blir behandlet for kvalitetssikringsformål i ytterligere ti år, selv om det ikke foreligger noe samtykke til slik behandling.
6 Personvernnemndas merknader
Personvernnemnda skal i denne saken ta stilling til Datatilsynets avvisning av å realitetsbehandle konsesjonssøknaden fra Kreftregisteret.
Kreftregisteret har søkt om konsesjon til å behandle personopplysninger (negative funn) om kvinner som ikke har samtykket til oppbevaring av negative funn. Opplysningene er ønsket brukt til kvalitetssikring av mammografiprogrammet. Kreftregisteret har bedt kvinnene i mammografiprogrammet om samtykke, og opplyser at 85 % av kvinnene har samtykket til oppbevaring av negative funn. De øvrige 15 % som ikke har samtykket, slettes fra Kreftregisterets eget mammografiregister. De samme negative funnene oppbevares likevel, fordi Kreftregisteret er databehandler for de ulike helseforetakene. Nå ønsker Kreftregisteret å benytte opplysningene til kvalitetssikringsformål. Dette må sees som et annet faktum enn det som lå til grunn for saken PVN-2009-06.
Datatilsynet har avvist å realitetsbehandle konsesjonssøknaden med henvisning til PVN-2009-06. Dette kan ikke være riktig idet faktum i den saken var annerledes enn i denne saken. Personvernnemnda er derfor av den oppfatning at Datatilsynet må realitetsbehandle konsesjonssøknaden.
Datatilsynet har gitt uttrykk for at søknaden ville blitt avslått dersom den var blitt behandlet. Nemnda er kjent med argumentene i saken og Datatilsynets syn, men slik saken fremstår er nemndas eneste oppgave å avgjøre om søknaden skulle ha vært realitetsbehandlet og nemnda kan derfor kun ta stilling til dette spørsmålet.
7 Vedtak
Klagen tas til følge. Datatilsynet må realitetsbehandle konsesjonssøknaden.
Oslo, 18. desember 2012
Eva I E Jarbekk
Leder