Personvernnemndas avgjørelse av 4. februar 2014 (Eva I E Jarbekk, Arve Føyen, Nina Melsom, Ørnulf Rasmussen, Ann R Sætnan, Gisle Hannemyr, Marta Ebbing)
1 Innledning
Personvernnemnda har ved oversendelse fra Datatilsynet mottatt klage på Datatilsynets avslag på søknad om endring av konsesjon til å behandle helseopplysninger for Nyrebiopsiregisteret.
2 Saksgang
Konsesjon til Norsk Nyrebiopsiregister ble gitt første gang i vedtak av 16. februar 1988. Konsesjonen var allerede fra etableringen basert på samtykke fra de registrerte. Gjeldende konsesjon ble gitt i vedtak av 25. august 2004 og er også basert på samtykke som behandlingsgrunnlag.
I brev av 20. april 2012 presiserte Datatilsynet at foresatte kan samtykke på vegne av sine barn opp til 16 års alder, men at dette samtykket kun vil være gyldig frem til barnet
fyller 16 år. Dette innebærer at nye samtykker må innhentes dersom opplysningene fortsatt skal lagres.
Datatilsynet mottok den 25. juni 2012 søknad fra Helse Bergen ved personvernombudet om endring av konsesjonen vedrørende innhenting av samtykker fra registrerte barn som fyller 16 år. Helse Bergen anførte at registeret trolig vil få et stort frafall dersom man skal innhente samtykker fra ungdommene. De ønsker i stedet å benytte et såkalt passivt samtykke, og sende ut informasjon med mulighet til å trekke seg fra registeret i stedet for å måtte innhente samtykker på nytt. Det ble anført at det er særlig vanskelig å innhente nye samtykker fra pasienter som ikke lenger har et aktivt forhold til behandlingsstedet, og at ungdommer er en gruppe som det kan være vanskelig å få samtykker fra. Videre la Helse Bergen vekt på samfunnets interesse i at det ikke blir stort frafall i registeret.
Datatilsynet avslo i vedtak av 9. januar 2013 søknaden om endring av konsesjonen. Helse Bergen HF påklaget avslaget i brev datert 18.2.2013.
Saken ble oversendt Personvernnemnda 2.7.2013, som mottok saken 10.7.2013. Klager ble orientert om dette i brev fra nemnda datert 7.8.2013, med frist til uttalelse innen 21.8.2013.
Nemnda tilskrev Datatilsynet og Helse Bergen i brev av 13.11.2013 og ba om klagers tilbakemelding på hvorvidt søknaden, og dermed saken, ville trekkes på grunn av at nemnda ikke kunne se at det var nødvendig med ny konsesjon.
Datatilsynet besvarte nemndas henvendelse i brev av 16.12.2013 og fastholdt at det er behov for ny konsesjon, eventuelt vil tilsynet måtte sørge for at krav om innhenting av nye samtykker reguleres gjennom konsesjonsvilkår.
Helse Bergen besvarte nemndas henvendelse i brev av 8.1.2014, hvor Helse Bergen ba om at nemnda treffer en avgjørelse i tråd med forvaltningsloven § 34.
3 Faktum
Nyrebiopsiregisteret har konsesjon fra 2004 og er basert på samtykke som behandlingsgrunnlag. Datatilsynet har presisert at foresatte kan samtykke på vegne av sine barn opp til 16 års alder, men at dette samtykket bare vil være gyldig frem til barnet fyller 16 år. Dette innebærer at nye samtykker må innhentes dersom opplysningene fortsatt skal lagres. Helse Bergen har søkt om endring av konsesjonen vedrørende innhenting av samtykker fra registrerte barn som fyller 16 år. Helse Bergen ønsker i stedet å benytte et passivt samtykke, og sende ut ny informasjon til barna ved fylte 16 år med mulighet til å trekke seg fra registeret i stedet for å be om et aktivt samtykke. Datatilsynet avslo søknaden om endring av konsesjonen.
4 Klagers anførsler
Helse Bergen påklaget Datatilsynets avslag fordi de mener at passivt samtykke (reservasjonsrett ved utsendelse av ny informasjon) må være tilstrekkelig etter fylte 16 år, når foresatt har samtykket i utgangspunktet.
I klagen anføres det at Datatilsynet har tolket grensene for sin kompetanse på en feilaktig måte. Helse Bergen HF er uenig i tilsynets vurdering av grensene for hvor langt
konsesjonskompetansen strekker seg i forhold til hvilke registre som må forskriftsreguleres,
jf. helseregisterloven §§ 7 og 8.
Det anføres videre at kravene til gyldig samtykke er oppfylt ved at 16-åringene gis informasjon om reservasjonsadgangen. Helse Bergen anfører at et samtykke avgitt av foreldre i samsvar med pasient- og brukerrettighetsloven § 4-1 fortsetter å gjelde etter at et barn fyller
16 år, såfremt vedkommende er informert om adgangen til å trekke samtykket tilbake, jf § 4-1, annet ledd.
Når det gjelder rekkevidden av et gyldig samtykke, er det uttalt i forarbeidene til pasientrettighetsloven (Ot prp nr 12 (1998-99) pkt 6.7.1.1) at jo mer inngripende helsehjelp som skal gis, jo kortere rekkevidde. Reglene om samtykke gjelder tilsvarende for helseregistre, jf helseregisterloven § 5. Å stå oppført i Nyrebiopsiregisteret vil være av lite inngripende art, og her kommer også nyttehensynet inn, ettersom et av formålene med kvalitetsregistre er kvalitetssikring av helsehjelpen/-tjenesten.
Det vil få konsekvenser for fremtidig forskning og kvalitetssikring dersom registrene mangler vesentlig informasjon fra de friskeste pasientene. Med et nytt aktivt samtykke ved 16 år er det en vesentlig risiko for at frafallet blir så stort at det går ut over kvaliteten på registeret. Barn som fikk tatt nyrebiopsi da de var små, vil ha utviklet en distanse til dette i årene etterpå. Videre er alderen 15-18 år erfaringsmessig en periode hvor man ikke har den største interessen for å oppfylle formelle krav som ikke har direkte konsekvenser, og man risikerer et betydelig frafall grunnet ungdommelig likegyldighet mer enn reell deltakernekt. Det kan i verste fall bety feilaktig behandling av slike pasienter i fremtiden. Både samfunnet og den enkelte pasient vil ha stor nytte av at registeret er så fulltallig som mulig, jf personopplysningsloven § 9 bokstav g) og h). Samfunnets interesser overstiger klart ulempene for den enkelte ved å benytte passivt samtykke for 16-åringene. Ulempene for den enkelte er ikke stor, det bes kun om tillatelse til ikke å slette allerede innsamlede data. Det er ingen ny intervensjon/undersøkelse av de registrerte barna.
Kravet om innhenting av nytt aktivt samtykke ved 16 år har tidligere ikke blitt satt som et eksplisitt vilkår i konsesjoner og er følgelig lite kjent blant eierne av kvalitetsregistre. Når dette kravet nå innføres som et generelt krav, byr det på store problemer for mange av disse registrene.
Interne kvalitetsregistre benyttes ofte også til forskning, ettersom de inneholder strukturerte helseopplysninger, i motsetning til opplysninger i pasientjournalen. Det er ikke et krav at det skal innhentes samtykke til registre som hjemles i helsepersonelloven § 26, dvs. til intern kvalitetssikring av helsehjelpen/helsetjenesten. Når slike registre brukes til forskning er hovedregelen at det skal innhentes samtykke før forskningen starter. Forskningen starter ofte mange år etter at opplysningene har blitt innhentet, bl.a. fordi forskeren er avhengig av en viss mengde opplysninger for å ha et tilstrekkelig materiale å forske på. Å innhente samtykke i lang tid etter at data er samlet inn, kan by på problemer av forskjellig art. Helseforskningsloven åpner derfor for at REK kan gi dispensasjon fra taushetsplikten til forskningsprosjekt. Det er ikke uvanlig at det gis slik dispensasjon.
Å be om samtykke når opplysningene innhentes, slik det gjøres ved bruk av bredt samtykke i kombinerte kvalitets- og forskningsregistre, må kunne karakteriseres som et langt bedre personvern enn at det gis dispensasjon i ettertid. Resultatet av en for streng tolkning av kravet til fornying av samtykke vil trolig føre til at det ikke lenger blir aktuelt å benytte bredt samtykke for å inkludere barn under 16 år. Dette kan man gjøre ved at registre der også barn registreres opprettes som lokale kvalitetsregistre. Så søker man REK om dispensasjon fra taushetsplikten når det blir aktuelt å forske på opplysningene.
Innhenting av nytt aktivt samtykke for spesielt de store, nasjonale registrene er en svært omfattende jobb, men også for lokale registre kan det være omfattende. Dette, sammen med faren for frafall og dermed en vesentlig reduksjon av registrenes kvalitet og dermed mulighet for feilaktige forskningsresultat og pasientbehandling, vil etter stor sannsynlighet føre til at helsesektoren vil arbeide aktivt for å få fjernet kravet om samtykke for slike registre, med den begrunnelse at dette går på helsetjenesten og pasientsikkerheten løs. Å fjerne samtykkekravet kan personvernombudet ikke se er godt personvern. Det er tross alt gitt et aktivt samtykke til registreringen av pasientopplysningene, og pasienten vil ved fylte 16 år få ny informasjon og mulighet for a trekke seg eller gjøre bruk av andre rettigheter (innsyn osv).
Datatilsynet har i det siste i flere saker hevdet at de ikke har kompetanse til å opprette registre uten samtykke når disse ikke er tidsavgrenset. Det må da vedtas forskrift for oppretting av slike registre, slik det er gjort for de virkelig store registrene (Hjerte/kar, NPR osv). Her blir det forskriftsfestet at data skal samles inn og utleveres til de nasjonale registrene uten samtykke. Forskriften hjemler da innsamling og utlevering.
Bruk av passivt samtykke bør kunne benyttes i registre der pasienten ikke lenger har
en aktiv tilknytning til sykehuset, slik tilfellet er for mange pasienter som er registrert i nyrebiopsiregisteret. For pasienter som har et aktivt forhold til sykehuset vil kravet om nytt, aktivt samtykke fortsatt kunne håndheves. Det vises til det nasjonale Leppe-, kjeve-, ganespalteregisteret, der behandlingsteamene bestemte seg for å flytte et behandlingstidspunkt fra 15 til 16 år, nettopp for å sikre innhenting av nytt samtykke.
Videre viser Helse Bergen til Datatilsynets anledning til å kunne innvilge konsesjon i samsvar med personopplysningsloven § 9, tredje ledd.
5 Datatilsynets vurdering
Datatilsynet finner at sakens uenighet er knyttet til spørsmålet om kravene til samtykker fra de registrerte er oppfylt, og eventuelt om det finnes alternativt behandlingsgrunnlag for å kunne registrere data i Nyrebiopsiregisteret uten å innhente nye samtykker fra de registrerte når de fyller 16 år.
Datatilsynet har ikke bestridt samfunnsnytten registreringen av opplysninger i Norsk
Nyrebiopsiregister har.
Datatilsynet fastholder konklusjonen om at kravene til gyldige samtykker som følger av helseregisterloven § 2 nr. 11 ikke er oppfylt gjennom den løsningen Helse Bergen HF foreslår, ved at det ikke skal innhentes nye samtykker fra de registrerte i Nyrebiopsiregisteret når de fyller 16 år.
Om samtykke som behandlingsgrunnlag
Helseregisterloven § 2 nr 11 definerer samtykke som: "en frivillig, uttrykkelig og informert erklæring fra den registrerte om at han eller hun godtar behandling av helseopplysninger om seg selv".
Det er utvilsomt at foresatte kan samtykke på vegne av sine barn i den grad de selv ikke har samtykkekompetanse.
I henhold til personopplysningslovens § 2 nr. 7 jf. lov om vergemål § 2, er hovedregelen at bare myndige personer kan avgi et gyldig samtykke. Det vil si personer som har fylt 18 år. Utgangspunktet etter personopplysningsloven § 2 nr. 7 er at foreldre har samtykkekompetanse på vegne av sine barn i kraft av foreldreansvaret. Dette følger av Ot.prp. nr. 92 side 103 hvor følgende er uttalt om definisjonen av samtykke i personopplysningsloven § 2 nr. 7:
Samtykke må i utgangspunktet gis av den registrerte selv ... For mindreårige og umyndiggjorte som ikke kan samtykke selv, må spørsmålet om samtykke skal gis vurderes av vergen.
Datatilsynet legger til grunn at de samme vurderingene gjelder ved tolkningen av helseregisterloven § 2 nr. 11.
Helseregisterloven inneholder ingen særskilte regler om behandling av mindreåriges personopplysninger og må derfor suppleres av barnelova og annen spesiallovgivning. Det følger av barnelova § 30 første ledd annet punktum at de som har forelderansvaret har rett og plikt til å ta avgjørelser for barnet i personlige forhold. Dette omfatter i utgangspunktet også samtykke til behandling av personopplysninger. Foreldrenes bestemmelsesrett overfor barna er imidlertid ikke absolutt.
For det første nevnes den generelle begrensning i at foreldreansvaret må utøves ut fra barnets interesser og behov. For det andre nevnes at foreldreansvaret må begrenses ut fra barnets medbestemmelsesrett og barnets selvbestemmelsesrett, jf. barnelova § 31 og 33. For det tredje nevnes at foreldreansvaret kan være begrenset med hjemmel i lov.
Datatilsynet har i praksis lagt til grunn at personer under 18 år kan avgi et gyldig samtykke for behandling av personopplysninger. Det er særlig barnelova § 33 som vil kunne føre til at
foreldrenes bestemmelsesrett bortfaller før barnet har fylt 18 år. Det vil si at barnet kan få
selvbestemmelsesrett før det fyller 18 år også på andre områder enn de som er direkte
lovregulerte. I praksis vil spørsmålet om samtykkekompetanse bero på en konkret vurdering av behandlingens art og omfang, og sakens kompleksitet for øvrig. Det må kunne forutsettes av barnet er i stand til å vurdere konsekvensene av å avgi et samtykke, herunder tilegne seg nødvendig informasjon. Barnets alder og modenhet må vurderes i forhold til behandlingens formål, art og omfang, samt opplysningenes innhold.
Barnelova § 33 gir ikke noen klar anvisning på når barn kan oppnå selvbestemmelsesrett, og det kan derfor oppstå mange tvilstilfeller i praksis. Det må derfor vurderes om det foreligger andre lovbestemmelser som det er naturlig å analogisere fra.
Datatilsynet mener det er mest naturlig å vurdere om myndighetsalderen for deltakelse i helseforskningsprosjekter etter helseforskningsloven § 17 kan gis analogisk anvendelse. Forskning på helseopplysninger etter helseforskningsloven og denne type forskning på sensitive personopplysninger kan være nokså likartede. Likhetsargumentet kan dermed tale for at myndighetsalderen også bør være den samme. Etter helseforskningsloven § 17 første ledd er myndighetsalderen som hovedregel 16 år. Dette er som hovedregel lagt til grunn i tilsynets praksis.
Det kan i noen tilfeller være gode grunner for å legge til grunn at selvbestemmelsesretten først inntrer ved 18 år. Dette er imidlertid ikke problematisert eller diskutert i klagesaken.
På det tidspunktet barnet har oppnådd selvstendig samtykkekompetanse, vil ikke lenger foreldrenes tidligere samtykke anses gyldig. En løsning med såkalte «passive samtykker» tilfredsstiller ikke helseregisterlovens krav til gyldige samtykker.
Alternativt behandlingsgrunnlag
Datatilsynet mener at diskusjonen om tilsynets kompetanse er subsidiær, ettersom avslaget på søknad om konsesjon er knyttet til innhenting av samtykker fra barn når de fyller 16 år. Datatilsynet fastholder imidlertid konklusjonen om at helseregisterlovens forarbeider tilsier at tilsynets konsesjonskompetanse er begrenset i tilfeller hvor det ikke innhentes samtykker til deltakelse i kvalitetsregistre.
Datatilsynets kompetanse til å gi konsesjon til opprettelsen av regionale og lokale helseregistre er begrenset i helseregisterloven § 7. Tilsynet har ikke kompetanse til å gi konsesjon til registre som tar sikte på å eksistere i lang tid, uten at det er innhentet samtykker fra de registrerte. Dette følger blant annet av forarbeidene til helseregisterloven. Norsk Nyrebiopsiregister har så langt ikke vært tidsbegrenset, og må følgelig uten samtykker fra de registrerte forskriftsreguleres. En endring som den omsøkte har ikke Datatilsynet kompetanse til å innvilge.
Datatilsynet ga følgende begrunnelse for avslaget:
Datatilsynet har vurdert søknaden og gir Dem med hjemmel i helseregisterloven § 5,
jf personopplysningsloven § 33, jf § 34, avslag på søknad om endring av konsesjon til å behandle helseopplysninger i Norsk Nyrebiopsiregister.
Enhver behandling av helseopplysninger må ha behandlingsgrunnlag, jf helseregisterloven § 5 og personopplysningsloven § 9. Ved innvilgelse av opprinnelig og etterfølgende konsesjon, har Datatilsynet lagt til grunn at behandlingen skal være basert på samtykker fra de registrerte, og dette har vært lagt til grunn av databehandlingsansvarlig.
Datatilsynets oppfatning er at Helse Bergen er enig i at den løsningen som er angitt i søknaden ikke tilfredsstiller lovens krav til samtykke.
I det aktuelle registeret har foreldre samtykket på vegne av sine barn, men slike samtykkers gyldighet er begrenset av barnets rett til å bestemme selv. Datatilsynet har i sin praksis angitt at barn i de fleste tilfeller kan samtykke til forskning og deltakelse i helseregistre etter fylte 16 år. Etter helseforskningsloven § 17, har mindreårige etter fylte 16 år som hovedregel samtykkekompetanse. Helse Bergen har ikke anført at det er grunnlag for å gjøre unntak fra hovedregelen om 16 års grense for innhenting av samtykker.
Datatilsynet oppfatter dermed at det søkes om endring av behandlingsgrunnlag for behandling av opplysninger av registrerte i Norsk Nyrebiopsiregister i det de registrerte fyller 16 år.
Datatilsynet bemerket også følgende:
Datatilsynet finner i alle tilfeller en slik endring av behandlingsgrunnlag betenkelig. De registrerte har fått informasjon som ikke stemmer overens med det virkelige bildet. Man må legge til grunn at deltakelse i registeret er basert på den informasjonen som er gitt ved starttidspunktet og i ettertid. Det har trolig vært avgjørende for den enkeltes deltakelse at denne er frivillig og basert på samtykke.
Datatilsynet bestrider ikke at det kan være utfordrende å innhente samtykker fra ungdommer på 16 år. Dette kan imidlertid ikke tillegges vekt i vurderingen, da utelatelse av å svare også kan bety at man har tatt et aktivt valg om å ikke delta. Tilsynet oppfordrer til å finne andre metoder for innhenting av samtykker fra denne aldersgruppen dersom de tradisjonelle metodene normalt medfører stort frafall. Tilsynet vil kunne bistå med råd og veiledning hva gjelder de informasjonssikkerhetsmessige sidene av alternative metoder dersom dette er ønskelig.
6 Personvernnemndas merknader
Bakgrunnen for denne saken er at Datatilsynet i brev av 20. april 2012 presiserte at foresatte kan samtykke på vegne av sine barn opp til 16 års alder, men at dette samtykket bare vil være gyldig frem til barnet fyller 16 år, noe som innebar at nye samtykker måtte innhentes fra samtlige registrerte dersom opplysningene fortsatt skulle lagres.
Personvernnemnda skal ta stilling til hvorvidt foresattes samtykke på vegne av sine barn under 16 år – for så vidt gjelder å stå oppført i Nyrebiopsiregisteret – bare er gyldig frem til barnet fyller 16 år. Utgangspunktet for denne vurderingen er at det foreligger et gyldig samtykke avgitt av en foresatt.
Verken personopplysningsloven § 2 eller helseregisterloven § 2 angir noen tidsbegrensning for samtykke avgitt av verge, men baserer seg på at et samtykke er et rettsgrunnlag så lenge det opprettholdes. Når det gjelder pasient- og brukerrettighetsloven kan ikke nemnda se at den er relevant i denne saken idet den regulerer en løpende behandlingssituasjon. Lovens utgangspunkt for et gyldig avgitt samtykke er således at det ikke er tidsbegrenset, men gjelder så lenge det ikke blir trukket tilbake.
Etter nemndas syn er samtykket således fortsatt et gyldig rettsgrunnlag så lenge opplysningene i registeret bare benyttes til det opprinnelige registerformålet. Nemnda kan ikke se at det foreligger rettslig grunnlag for å hevde at endring av samtykkekompetansen utløser krav om nytt samtykke. Dette kan sammenlignes med umyndiggjøring og oppnevning av verge. Vergen må ikke samtykke på nytt i alle forhold hvor den umyndiggjorte har samtykket før umyndiggjøringsgrunnen inntrådte, men vergen kan trekke samtykker tilbake etter umyndiggjørelsen. Tilsvarende står det intet i vergemålsloven om at nye samtykker må innhentes i alle forhold der vergen har samtykket idet man blir myndig. Personvernnemnda er således kommet til at vergens samtykke fortsatt er gyldig, men råderetten for tilbaketrekking går over til barnet ved fylte 16 år.
Nyrebiopsiregisteret har allerede konsesjon til å behandle opplysningene i registeret. Det er således ikke nødvendig å søke om ny konsesjon for Nyrebiopsiregisteret. Så lenge det bare er tale om en fortsettelse av et gammelt register vil samtykkene fortsatt være gyldige.
Når det gjelder informasjon til de registrerte, kan registeret velge å informere 16-åringene om at de kan trekke samtykket tilbake, selv om de ikke er forpliktet til dette.
På bakgrunn av ovenstående er det slik nemnda ser det ikke nødvendig å søke om ny konsesjon i dette tilfellet, slik begge parter ser ut til å ha lagt til grunn.
7 Vedtak
Vedtaket oppheves, jf fvl § 34. Konsesjonssøknaden er unødvendig idet gyldig behandlingsgrunnlag allerede foreligger for Nyrebiopsiregisteret.
Oslo, 4. februar 2014
Eva I E Jarbekk
Leder