Datatilsynet har de siste årene sett en økende tendens til opprettelse av sentrale, til dels store helseregistre. Registrene blir opprettet som rene forskningsregistre, eller i forbindelse med oppbygging av ulike kompetansesentre. Kompetansesentrene har behov for omfattende informasjon til bruk i blant annet kvalitetssikring av ulike behandlingsopplegg.
Informasjon og erklæring om samtykke
En økende tendens i søknadene er at registreringene blir basert på samtykke fra de registrerte. Datatilsynet har derfor endret fokus noe i behandlingen av disse søknadene. Medisinsk forskning er viktig, og Datatilsynet har hverken kompetanse eller behov for å vurdere hvilke prosjekter som har livets rett. Derfor nekter Datatilsynet sjelden forskere å registrere visse typer opplysninger fordi DT mener de er integritetskrenkende eller mangler relevans. Datatilsynet forutsetter at de enkelte er i stand til å ivareta sitt eget personvern, i den grad de får tilstrekkelig informasjon. Det er derfor lagt vekt på at informasjonsskriv og samtykke-erklæringer er i samsvar med de prosjektbeskrivelser DT mottar, og de råd som forskerne eventuelt har fått fra de respektive etiske forskningskomiteer.
Uklarheter i forbindelse med personvern er også knyttet til disse sakene. Mange forskere tar sikte på svært lang oppbevaringstid, eventuelt permanent lagring av opplysningene. I tillegg har de ofte ambisjoner om å utnytte opplysningene maksimalt, både i forbindelse med det aktuelle prosjektet og i fremtidige prosjekter. I de fleste tilfeller er registeransvarlig villig til å informere om dette og innhente samtykke fra den registrerte, men DT ser også tilfeller der dette ikke ønskes fordi det kanskje kan svekke svarprosenten. Selv om samtykke innhentes gjelder dette uoverskuelige forhold, og informasjonen kan derfor sjelden bli helt tilfredstillende for de som deltar i undersøkelsene. Det kan derfor reises tvil om hvorvidt samtykket er reelt i mange sammenhenger. Dette er et stort etisk problem, spesielt i forbindelse med prosjekter der respondenten blir bedt om å avgi blodprøver og samtidig gir et generelt samtykke til at blodprøven kan benyttes i senere forskning.
Det er også problemer knyttet til samtykkets utstrekning. Datatilsynet har ofte en annen oppfatning enn forskeren når dette problemet reises, men forsøker å løse problemet i samarbeid med forskeren. I praksis har det som regel resultert i at prosjektene går som planlagt med enkelte modifikasjoner, for eksempel redusert lagringstid. Det hender også at DT mener det er nødvendig å innhente nytt samtykke for ny bruk av opplysningene.
Datatilsynet behandlet nylig en sak der det måtte søkes nytt samtykke for nye og utvidede prosjekter. Det dreide seg om å skrive til 37 000 kvinner og be om tillatelse til å se på andre forhold enn det som detaljert var beskrevet i forbindelse med det opprinnelige prosjektet/samtykket. Prosjektledelsen mente også dette var nødvendig, og ny forespørsel om samtykke har nå gått ut til de involverte kvinnene.
Datatilsynet har også til vurdering hvordan man eventuelt kan utvikle en av de store helseundersøkelsene, og informasjon samlet inn i den konkrete forbindelse, til å bli en "opplysningsbank" i forskningssammenheng. Også her blir det vesentlig hva deltakerne egentlig samtykket til, og om de i så fall forsto både konsekvenser og omfang. Datatilsynet har ennå ikke tatt stilling til saken, men ser at den reiser viktige avgrensningsspørsmål.
Nasjonale helseregistre
Til tross for ulike betenkeligheter knyttet til sentrale forskningsregistre, har Datatilsynet ikke avslått søknader hverken for prosjektrelaterte eller permanente helseregistre.
I tillegg har Datatilsynet gitt konsesjoner til allerede etablerte registre, som Medisinsk Fødselsregister og Dødsårsaksregisteret.
Dødsårsaksregisteret er det tredje største helseregisteret i Norge, og ble etablert i 1951. Registeret gir grunnlag for den årlige dødsårsaksstatestikken fra Statistisk sentralbyrå og for ulike forskningsprosjekter. Registeret inneholder bl.a. opplysninger om dødsårsaker, misbruk av narkotika, død i fengsel og arrest og fødsel i eller utenfor ekteskap for registrerte under to år.
Når det gjelder Dødsårsaksregisteret har tilsynet hatt en lang dialog med Statens Helsetilsyn, og det er enighet om at registeret er konsesjonspliktig. Opplysningene kan fortelle mye om, og ha betydning for, gjenlevende slektninger, og faller derfor inn under konsesjonsplikten. En del forhold måtte avklares før konsesjon kunne gis, men denne er nå endelig utformet og utstedt til Statens Helsetilsyn.
For Medisinsk Fødselsregisters konsesjon, var det på tide med en oppdatering både når det gjaldt ulike tilleggstillatelser som har vært gitt siden den opprinnelige konsesjonen, og for tekniske krav fra Datatilsynets side. Medisinsk Fødselsregister ble etablert i 1970 og er landets største medisinske register. Det skal bl.a. forestå en løpende overvåking av helseforholdene blant gravide og barn i nyfødtperioden og gi grunnlag for å utvikle normer, standarder og retningslinjer for helsetjenesten på området.
Saksbehandlingen resulterte i at det ble gitt en revidert konsesjon til Statens Helsetilsyn, som står som formell eier av registeret. Arbeidet med konsesjonen avdekket uoversiktlige forhold nå det gjelder disposisjonsrett, drift og eierskap til registeret.
I tillegg har Datatilsynet fått inn søknad om konsesjon til videre oppbevaring av det såkalte Åndssvakeregisteret. Registeret ble omtalt i media, og Datatilsynet tok kontakt med Statens Helsetilsyn for å få en avklaring på konsesjonsspørsmålet. DT fikk samtidig kunnskap om et "vanføreregister". Etter en avklarende runde mottok DT konsesjonssøknad fra Statens Helsetilsyn. Datatilsynet ba om en nærmere begrunnelse for behovet for videre registrering. Registeret utgjør en stor belastning for de registrerte, og Datatilsynet anser det som påkrevet at registereier har et bevisst forhold til nødvendigheten av materialet. Datatilsynet avventer svar på anmodningen.
De nye helselovene
Datatilsynet har hatt de nye helselovene til høring. De viktigste for tilsynet er lov om pasientrettigheter, lov om spesialisthelsetjenesten, lov om helsepersonell og lov om helseregistre. Sistnevnte har høringsfrist først i 1999.
Ved utarbeidelsen av de ulike odelstingsproposisjonene er DTs synspunkt delvis tatt hensyn til. Det er imidlertid ett viktig forhold som ikke er behandlet, og som Datatilsynet ønsker å følge opp. Det gjelder forholdet til sikring av informasjon i helsesektoren.
Helsemyndighetene har gitt tydelig uttrykk for at de ønsker å gi egne regler på dette området. Dette kommer til utrykk i både lov om helsepersonell og lov om spesialisthelsetjenesten, der Helsedepartementet blir gitt forskriftskompetanse til å gi sikkerhetsvilkår til sektoren. I lov om Helseregistre er det foreslått en henvisning til Datatilsynets sikkerhetsforskrifter, Helse- og sosialdepartementet er gitt anledning til å bidra med egne tilføyelser.
Datatilsynet har tilsynsansvar for sikkerheten i alle samfunnssektorer. Datatilsynet utvikler detaljerte regler og har ansvar for oppfølgingen. Det utarbeides nå generelle sikkerhetsforskrifter i tilknytning til forslag til lov om behandling av personopplysninger. Det vil være naturlig at de samme sikkerhetskravene stilles overfor helsevesenet.
Helsesektoren vil måtte forholde seg til krav fra Datatilsynet uansett, enten fordi registre faller utenfor helsevesenets egne hjemler, eller fordi helsevesenet har behov for å kommunisere elektronisk med registre som er underlagt Datatilsynets krav. Det vil derfor være uheldig å ikke ha samsvar mellom de to regelsettene. Helsedepartementet kan legge seg på samme linje som Datatilsynet og benytte de samme kravene, men det vil likevel være uheldig og forvirrende for brukerne å måtte forholde seg til til to regelsett og to myndigheter på ett og samme område. Å ha ett regime og så ensartede regler som mulig er viktig for sikkerheten.
Behovet for forskrifter
Datatilsynet vil avslutningsvis presisere hvorfor arbeidet med sikkerhetsforskrifter er vesentlig. Datatilsynet har ikke forskriftskompetanse, og må derfor gi regler til alle registereiere ved enkeltvedtak. Dette er tungvint og upraktisk så lenge DT tilstreber å gi ensartede regler til alle ved registrering av sensitiv informasjon.
DT mottar henvendelser og søknader som medfører at de samme reglene må gis enkeltvis til flere tusen leger og sykehus. Dette har nå aktualisert seg gjennom to konkrete saker DT har hatt til behandling. Den ene omhandler et reseptsikrersystem som leger kan knytte seg opp til for å bedre kvaliteten på sine tjenester. I utgangspunktet må alle leger som ønsker å knytte seg til systemet søke Datatilsynet om tillatelse.
Den andre saken gjelder poliklinikkers refusjonsadgang fra Rikstrygdeverket. Departementet har sendt et forslag til endring i "Forskrift for godtgjørelse av utgifter til legehjelp som utføres poliklinisk ved helseinstitusjoner på fylkeskommunal helseplan og ved statlige helseinstitusjoner," ut på høring. Endringen innebærer at alle poliklinikkene skal overføre sine refusjonskrav elektronisk til Rikstrygdeverket. Etter dagens regelverk er det ikke anledning til dette uten Datatilsynets godkjenning av sikkerheten ved overføringen. Endringen er obligatorisk for poliklinikkene, og uten sikkerhetsforskrifter kan Datatilsynet risikere å måtte saksbehandle søknader fra alle landets sykehus. Dette vil være en unødvendig stor arbeidsbelastning som kan unngås dersom forskriftene kommer på plass.