Datatilsynet behandler hvert år et stort antall søknader vedrørende opprettelse av personregistre i forbindelse med forskning. De særlige personvernproblemer som knytter seg til forskningsprosjekter dreier seg i det vesentligste omkring temaene førstegangshenvendelsen til mulige respondenter; samtykke til deltakelse i prosjektet; barns deltakelse; annen bruk av materialet og senere oppfølgende undersøkelser. Datatilsynet merker en økende interesse for forskning hvor det ikke skal tas kontakt med den enkelte det skal forskes på. Dette er i utgangspunktet problematisk i forhold til det grunnleggende personvernprinsipp at den enkelte skal ha kontroll over opplysninger om seg selv, og dermed selv skal kunne bestemme hvorvidt man vil være gjenstand for forskning. Dette prinsippet, som også er nedfelt i Europarådets rekommandasjon om forskningsregistre ligger til grunn for de fleste tillatelser Tilsynet gir i forbindelse med forskning. Problemet er så i hvilken grad det skal tillates at det opprettes personregistre i forskningsøyemed med opplysninger om personer som ikke vet at de blir forsket på, og dermed uten deres samtykke.
I disse sakene står det gjerne to hensyn mot hverandre: Personvernet på den ene siden og interessen i få belyst et problemområde, som f eks integrering av flyktninger eller helseovervåkning, på den annen. Forskeren har gjerne som utgangspunkt at det vil hindre en belysning av problemstillingen dersom samtykke må innhentes. Dette kan f eks være på grunn av antallet registrerte, språk- og kulturproblemer, eller at det kan virke støtende å ta kontakt. Datatilsynets hovedregel er likevel at samtykke skal innhentes. Dette kravet er sterkere jo mer sensitive data det dreier seg om. Unntak kan gjøres der det ikke dreier seg om sensitive data, eller data er anonymisert.
Dersom forskeren ønsker tilgang til taushetsbelagte opplysninger uten å innhente samtykke fra den registrerte, kan forskeren be vedkommende departement om dispensasjon fra taushetsplikten. Hensynene bak taushetspliktreglene er tilnærmet de samme som bak personvernet, nemlig å hindre spredning og bruk av opplysninger som kan virke krenkende for den enkelte. I mange tilfeller får forskeren den nødvendige dispensasjon fra taushetsplikten, og har dermed tilgang til de aktuelle opplysninger. Datatilsynet søkes så om tillatelse for registreringen av opplysningene. Datatilsynet står her fritt til å nekte konsesjon etter personregisterloven, eller eventuelt til å sette vilkår. Det kan synes som et problem dersom Datatilsynet ikke følger den linje vedkommende departement har lagt, da departementet er fagansvarlig og forutsettes å kjenne godt til saksområdet og de etiske problemer knyttet til dette. Datatilsynet har likevel ansett seg som forpliktet til å foreta den konkrete interesseavveiingen som personregisterloven foreskriver, uavhengig av om det allerede er innvilget dispensasjon fra taushetsplikt.
I mange av disse sakene er problemet ikke av rent juridisk art, men vel så mye et etisk spørsmål. Noen problemstillinger i forbindelse med enkeltsaker er derfor lagt frem for Den Nasjonale Forskningsetiske Komité for Samfunnsvitenskap og Humaniora (NESH). I sine retningslinjer har komitéen, i likhet med Datatilsynet, som utgangspunkt at samtykke skal innhentes fra den enkelte. Komitéen har likevel tatt forbehold om at det i noen saker kan synes så viktig for enkeltindividenes velferd å få belyst området, at forskning uten samtykke må tillates. En aktuell problemstilling her er hvorvidt en eventuell nektelse til deltakelse fra en gruppe kan hindre økt velferd eller bedre helse for en større gruppe. Dette er vektige momenter også i Datatilsynets vurdering.
Et eksempel som kan nevnes er Norsk Samfunnsvitenskaplig Datatjeneste som på oppdrag fra Fylkeshelsesjefen i Hordaland søkte tillatelse til å opprette et Helse- og levekårsatlas for Hordaland. Man ønsket opplysninger om pasienter i hele landet. Formålet var å se på helse- og levekårene i Hordaland for senere bruk i helsepolitisk øyemed. Opplysningene i registeret skulle føres med koder knyttet til lister ved det enkelte sykehus, og data skulle innhentes fra Statistisk Sentralbyrå. Datatilsynet avslo søknaden med den begrunnelse at det ikke ble ansett nødvendig med data i identifiserbar form for det formål som var angitt, og anonyme data kunne innhentes fra Statistisk Sentralbyrå. Den grunnleggende tanke var også her personvernet for den enkelte registrerte som ikke visste at opplysningene om ham
henne var gjenstand for forskning.
Utvalget for utredning om bruk og utlevering av personopplysinger fra helsevesenet og forholdet til taushetsplikten, det såkalte Boe-utvalget har i forbindelse med sin utredning om opprettelse og lovregulering av pseudonyme helseregistre, også tatt tak i problemstillingen vedrørende forskning og registrering av personer som ikke har kunnskap om registreringen. Utgangspunktet er at det ut fra personvernhensyn er det best om det ikke opprettes sentrale eller regionale helseregistre. Boe-utvalget, konkluderer likevel med at det er nødvendig med sentrale helseregistre for å kunne drive epidemiologisk og klinisk forskning på det ønskede nivå i Norge.
Tanken er at registrene skal være pseudonyme, slik at direkte identifikasjon av person i registrene vil være umulig. Pseudonymiseringen skal foregå ved at man krypterer - omformer - fødselsnummeret. Krypteringsnøkkelen vil da ligge hos en eller flere institusjoner utenfor helsevesenet som nyter allmenn tillit for integritet.
For å avhjelpe personverntruslene omkring dette har utvalget foreslått en grundig informasjon om registreringen, og derunder at de registrerte har rett til innsyn og rett til å reservere seg mot utlevering av fødselsnummer til registeret. Utvalget kom til at man ikke skulle kreve aktivt samtykke i forkant av registreringen ut fra den betraktning at den enkelte bruker av helsevesenet har et visst sosialt ansvar for å bidra med opplysninger om seg selv for å styrke helsevesenet. Dette er imidlertid avhengig av at opplysningene behandles på en tilfredsstillende måte ut fra personvernet, og i tilfelle av mistillit må det være adgang til reservasjon. Datatilsynet er i sin høringsuttalelse til innstillingen betenkt over enkelte sider ved innstillingen.
I hovedsak er Tilsynet likevel positiv til at pseudonymiseringssystemet utprøves, og finner at de pasientrettigheter som er foreslått er svært positive.