Flere saker i 2001 har gjort det nødvendig å påpeke den enkeltes rett til å samtykke ved bruk eller ønske om bruk av helseinformasjon.
Helseregisterloven
Helseregisterloven trådte i kraft 1. januar 2002. Loven har allerede skapt betydelige tolkningsproblemer for Datatilsynet. Blant annet har fagdepartementet og Datatilsynet hatt en svært ulik oppfatning av blant annet hvilke helseregistre Datatilsynet har anledning til å gi konsesjon til.
Helseregisterloven gjelder for elektronisk behandling av helseopplysninger i helseforvaltningen og helsetjenesten, uavhengig av om det skjer i privat eller offentlig regi. Loven hjemler opprettelsen av lokale, regionale og sentrale helseregistre med direkte personidentifiserbare opplysninger. Samtykke fra den opplysningene gjelder er hovedregelen, men for spesifikke helseregistre hjemler loven at opplysninger kan behandles uten samtykke. Loven legger også opp til et system med bruk av anonyme og avidentifiserte data som beslutningsgrunnlag og for kunnskapsoppbygging.
Tolkningsproblemer
Loven har allerede skapt diverse tolkningsproblemer for Datatilsynet. Tilsynet har derfor hatt utbredt kontakt med Sosial- og helsedepartementet som fagansvarlig for loven. Det har vist seg at departementet og Datatilsynet har svært ulik oppfatning av hvordan sentrale bestemmelser i helseregisterloven skal forstås, herunder hvilke helseregistre som kan opprettes etter konsesjon fra Datatilsynet og hvilke som må ha hjemmel i lov eller forskrift.
Innskjerping av tilsynets kompetanse
Etter Datatilsynets oppfatning medførte de lovendringene som ble gjort under stortingsbehandlingen at Datatilsynets kompetanse til å gi konsesjon til opprettelsen av lokale, regionale og sentrale helseregistre ble vesentlig innskjerpet. På bakgrunn av dette har Lovavdelingen i Justisdepartementet blitt bedt om å komme med sin forståelse av bestemmelsene.
Norsk arv - søknad fra GeNova
I september 2001 mottok Datatilsynet søknad om konsesjon for behandling av personopplysninger av selskapet GeNova AS. Personopplysningene skal behandles i forbindelse med forskningsprosjektet "Påvisning av sykdomsdisponerende gener i en homogen norsk befolkning".
Offentlig styring
Datatilsynet mener at opprettelsen av helseregistre med genetisk informasjon om store deler av den norske befolkning bør underlegges offentlig styring. På denne måten kan det gis klare rammer for hva man kan bruke genetiske opplysninger til, og man kan avverge at etiske prinsipper og personvernhensyn må konkurrere med kommersielle interesser. Det kan være hensiktsmessig at disse rammene trekkes opp i en forskrift som gjennom høringsrunden har vært underlagt offentlig debatt. Datatilsynet mener at en slik forskriftsregulering også er pålagt i medhold av helseregisterloven.
Forskrift eller konsesjon?
Datatilsynet ba om Sosial- og helsedepartementets tilbakemelding på hvorvidt GeNovas register må reguleres i forskrifts form eller om det kan gis konsesjon etter helseregisterloven. Departementet antok at behandling av helseopplysninger i forbindelse med dette forskningsprosjektet kan skje etter konsesjon fra Datatilsynet. I en uttalelse i Vårt Land 1. desember 2001 avviste imidlertid stortingsrepresentant Olav Gunnar Ballo tolkningen av helseregisterloven som Sosial- og helsedepartementet kom til. Ballo var saksordfører i Sosialkomiteen da helseregisterloven ble vedtatt. Den Etiske komité for medisin (NEM) fraråder prosjektet.
Datatilsynet har foreløpig ikke ferdigbehandlet GeNovas konsesjonssøknad. På bakgrunn av den uenigheten som har oppstått, vil den videre saksbehandling måtte vente til ovennevnte er avklart.
Likhetstrekk med Decode
Det er likhetstrekk mellom GeNovas omsøkte prosjekt Norsk Arv og opprettelsen av det islandske genregisteret Decode. Begge har private aktører og kommersielle interesser som utgangspunkt, og begge registre skal bygge på en samling av en homogen befolknings geninformasjon.
Alltinget på Island vedtok i 1998 en lov som gir et privat selskap, Decode, rett til å samle inn og kode helseinformasjon fra blant annet journaler på sykehus og hos privatpraktiserende leger. Loven tillater også samkjøring av disse opplysningene med genetisk informasjon for å kartlegge genetiske årsaker til sykdom. Dette bearbeidede materialet selges videre til firmaer som arbeider fram medisiner eller terapier. Decode er deleid av Hoffman-La Roche som er et stort internasjonalt legemiddelfirma. Forretningsideen ligger i det å koble helsedatabasen mot slektstrær for å finne slektslinjer der ulike sykdommer er vanlig. Berørte personer kontaktes og bes om å avlevere blodprøve til en genbank slik at sykdomsgener kan dyrkes.
Samtykkeproblemer
Behandlingen av helseopplysninger i Decode skulle tilsi at den enkelte må samtykke til registreringen. Da loven ble vedtatt uttalte datatilsynssjefene i EU blant annet at de forutsatte at databasen skulle baseres på informert samtykke. Det finnes så mange unntak fra samtykkereglene at dette ikke fungerer i praksis. Det er oppstått situasjoner i forhold til Decode som blant annet viser at det er svært vanskelig å bruke sin rett til å reservere seg eller å komme ut av registeret dersom noen ønsker det, til tross for samtykke som kriterium for deltagelse.
Slike forhold bør etter Datatilsynets oppfatning forebygges og unngås dersom et tilsvarende register skal opprettes i Norge.
Forslag til Biobanklov
Biobankutvalgets forslag til biobanklov ble lagt ut på høring i sommer. Datatilsynet mente lovforslaget var så mangelfullt at det burde utarbeides et nytt.
Personvern og etikk var uttalte målsetninger i Biobankutvalgets mandat. Utvalget ble likevel nedsatt uten medlemmer fra Datatilsynet og den Nasjonale forskningsetiske komité for medisin. Datatilsynet mener det er behov for lovregulering av biobankene.
Lovforslaget stred etter Datatilsynets mening mot hovedpunkter i to sentrale lover på personvernområdet: personopplysningsloven og helseregisterloven. Dette gjaldt særlig kravene til informasjon og samtykke fra personene det biologiske materialet stammer fra. Dersom biologisk materiale skal brukes til noe annet enn helsehjelp, mente Datatilsynet at det ikke er tilstrekkelig med et stilltiende samtykke. Lovforslaget skisserte uklare regler på dette området. Stortinget endret deler av helseregisterloven, nettopp fordi personverninteressene til de registrerte ikke ble ansett å være tilstrekkelig ivaretatt. Tilsynet anså at disse interessene ble enda dårligere ivaretatt i dette forslaget.
Hva er en biobank?
Utvalget klarte ikke å bli enige om en biobank kun består av humant biologisk materiale eller om den også må sies å omfatte de opplysningene man kan få når man analyserer materialet. Datatilsynet mener det er uheldig å vurdere det biologiske materialet uavhengig av opplysningene som kan utledes fra det. Så lenge identitet kan knyttes til for eksempel en blodprøve, må den ses på som en helseopplysning om en enkeltperson, og ikke som en hvilken som helst forbruksvare.
Bioindustri
Datatilsynet reagerte på at lovforslagets formål sidestilte næringsutvikling, diagnostisk behandling, undervisning og forskning. Dette ga seg utslag i at Biobankutvalget ønsket å la næringsutvikling bli et "helsemessige formål". Dette mente Datatilsynet var uheldig. Når blodbankene, som er store samlinger biologisk materiale, foreslås unntatt fra loven, spurte Datatilsynet om det egentlige formålet med lovforslaget var å ivareta næringsinteressenes behov, ikke å sikre en forsvarlig bruk av menneskelig biologisk materiale.
Helseopplysninger i arbeidslivet
Breisteinutvalget vurderte bruk av helseopplysninger i arbeidslivet. Datatilsynet hadde enkelte merknader da utvalgets rapport var til høring i 2001.
Datatilsynet ønsker klare regler som begrenser hvilke opplysninger arbeidsgiveren lovlig kan be om. De fleste arbeidstakere vil føle seg mer eller mindre forpliktet til å gi sitt samtykke til arbeidsgiver når hun ønsker å innhente helseopplysninger. Frivilligheten kan bli illusorisk. Man leverer helseattesten, ellers får man ikke jobben. Datatilsynets har inntrykk av at mange arbeidsgivere samler inn helseopplysninger ut fra et "kjekt å ha"-prinsipp, uten at behandlingen av disse opplysningene er saklig begrunnet i deres virksomhet. Inntrykket har vært underbygget av telefonhenvendelser tilsynet har mottatt fra arbeidssøkere og ansatte.
Regelverket i dag er dårlig kjent
Utvalget konkluderte med at arbeidsgivere i dag ikke kan kreve opplysninger om arbeidstakeres/-søkeres helse uten særskilt hjemmelsgrunnlag. Datatilsynet tror dette er lite kjent for mange arbeidsgivere. Det er behov for at slike prinsipper lovfestes. Et klarere regelverk gjør det dessuten lettere for arbeidstakeren å påberope seg sin rett til å nekte.
Bare nødvendige opplysninger
Datatilsynets praksis gjennom mange år har vært at bruk av helseopplysninger i arbeidsforhold må begrenses til det nødvendige. I konkrete saker har virksomheter fått avslag på søknader om tillatelse til å registrere slike opplysninger under henvisning til at det ikke foreligger noe saklig behov. Utvalget ønsket å begrense arbeidsgiverens adgang til å bruke helseopplysninger til det som er nødvendig for å vurdere arbeidstakernes evne til å utføre arbeidet. Dette anser tilsynet som positivt. Utvalget foreslår også at arbeidsgivere skal ha begrenset mulighet til å pålegge eller tilby helseundersøkelser til sine ansatte. Dette mener Datatilsynet er positivt. Mange ansatte vil antakelig føle seg forpliktet til å delta i slike undersøkelser, selv om de eventuelt presenteres som frivillige.
Fastlegeordningen
Rikstrygdeverket har konsesjon til å føre et register over fastleger og deres faste pasienter. Etter at fastlegeordningen trådte i kraft 1. juni i meldingsåret, har Datatilsynet mottatt flere henvendelser fra leger og sykehus som ønsker tilgang til registeret.
Fastlegekontorene viser til konsesjonen som årsak til at de ikke kan utlevere opplysningene. Tilgangen til disse opplysningene vil etter det Datatilsynet forstår, effektivisere og forenkle forsendelsen av pasientens epikrise etter innleggelse eller behandling på sykehus og legevakt.
Samtykke eller lovhjemmel
I henhold til konsesjonen kan opplysninger utleveres fra fastlegeregisteret etter samtykke fra den personen opplysningene knytter seg til, med hjemmel i lov eller forskrift. Datatilsynets mener at helsepersonelloven og journalforskriften hjemler utlevering av opplysninger fra fastlegeregisteret.
Rikstrygdeverket må søke om endring
Dette vil slik Datatilsynet har forstått det, likevel ikke løse problemet for legevakt eller sykehus som ønsker å få oversendt opplysninger fra fastlegen i forbindelse med sykdom der pasienten av en eller annen grunn ikke kan oppgi navn på legen. Dette er en problemstilling som ikke ble tatt opp med Datatilsynet da konsesjonen ble gitt. Rikstrygdeverket som registereier må søke dersom Datatilsynet skal endre konsesjonen.