Datatilsynet vurderte konsesjonene til Folkehelseinstituttets divisjon for rettstoksikologi og rusmiddelforskning. Tilsynet fant at Folkehelseinstituttet ikke kunne forske lovlig på materialet, da det verken forelå samtykke eller lovhjemmel for forskning.

Divisjon for rettstoksikologi og rusmiddelforskning analyserer blant annet blodprøver for rekvirenter fra påtalemyndigheten for å avsløre eventuell rusmiddelbruk. I tillegg forsker divisjonen på en rekke rusmiddelrelaterte problemstillinger.
Konsesjonssøknadene Datatilsynet vurderte gjaldt forskning på opplysninger knyttet til prøver tatt etter vegtrafikklovens bestemmelser som lå lagret i registeret SRI-DATA.

Datatilsynet kom frem til at Folkehelseinstituttet ikke kunne anses som den behandlingsansvarlige for opplysningene i registeret. FHI hadde dermed ikke noen selvstendig råderett over opplysningene, men ble bundet av det som var avtalt skriftlig med rekvirentene. Personopplysningsloven stiller krav til at behandling av personopplysninger som foretas av andre enn den behandlingsansvarlige underlegges en databehandleravtale som tilfredsstiller visse krav. Datatilsynet fikk ikke fremlagt noen databehandleravtale mellom rekvirentene og FHI som tilfredsstilte lovens krav. Dette innebar at FHIs innhenting og analysevirksomhet var i strid med personopplysningslovens bestemmelser.

Forskning uten samtykke eller lovhjemmel
Samtykke er hovedregelen norsk personvernlovgivning. For at det skal gjøres unntak fra dette for forskning på levende mennesker, må det enten foreligge lovhjemmel, eller man må få dokumentert en særskilt grunn.

Opplysningene Folkehelseinstituttet ønsket å forske på er svært sensitive og sammensatte. Opplysningene omfattet helseforhold og mistanke om straffbare forhold, og var innhentet under tvang for å sikre eventuelle bevis i straffesaker. Under slike omstendigheter er det etter Datatilsynets syn svært betenkelig å forske uten at det foreligger lovhjemmel eller samtykke.

Datatilsynet så det slik at både påtalemyndigheten og Folkehelseinstituttet måtte bære ansvaret for situasjonen: Påtalemyndighetene hadde ikke adgang til å levere ut blodprøvematerialet til Folkehelseinstituttet for forskningsformål. Og Folkehelseinstituttet på sin side kunne ikke benytte disse opplysningene til forskning.

Krever kontakt
Den registrerte skal varsles når opplysninger til bruk i forskning hentes inn fra en annen kilde. Dette er en del av informasjonsplikten etter personopplysningsloven. Folkehelseinstituttet skulle derfor uansett ha kontaktet den prøven var hentet fra før forskningen kunne bli satt i gang. Etter Datatilsynets mening kunne man da bedt om samtykke samtidig.

Saken ble omtalt i Dagens Medisin 29.01.2004.

Les brevet