Kan vi som pasienter stole på at opplysninger vi gir legen behandles i fortrolighet? Gjennom store, sentrale registre føres nå oversikt over nær sagt all kontakt med helsevesenet. Opplysningene i journalene kan også i mange tilfeller leses av andre helsearbeidere og kontorpersonell, uten særlig etterkontroll av at oppslaget var berettiget.
Datatilsynet merker også en tendens til at man for forskning og administrasjon ønsker å ha stadig større og mer overgripende datasamlinger med svært mange opplysninger om hver enkelt, gjerne på identitet, slik at den enkelte kan følges gjennom flere år.
Dårligere personvern med nytt Norsk pasientregister
Sosial- og helsedirektoratet foreslo i 2004 å gjøre Norsk pasientregister om til et register knyttet til identitet. Dette er Datatilsynet sterkt i mot. I høringsuttalelsen påpekte Datatilsynet på at et personentydig Norsk pasientregister, med sentralisert kartlegging av den enkelte norske borgers helsetilstand og bruk av sykehus fra fødsel til død, vil ha negative personvernkonsekvenser for nær sagt alle i Norge.
Det foreslåtte Norsk pasientregister er et nøkkelregister. Ved bruk av noen få opplysninger herfra kan en identifisere hver enkelt av oss i de fleste andre helseregistre – uavhengig av om registrene i utgangspunktet er avidentifiserte eller pseudonyme. Når man ser de eksisterende helseregistrene i sammenheng med det foreslåtte pasientregisteret, blir den samlede kartleggingen bortimot altomfattende.
Datatilsynet ser Norsk pasientregister som så personverntruende at tilsynet heller ikke anbefaler en løsning med et pseudonymt register.
Allerede i dag eksisterer et Norsk pasientregister av mindre omfang. Registeret har konsesjon fra Datatilsynet med vilkår om at navn og personnummer skal slettes. Helse- og omsorgsdepartementet ønsker å lagre flere opplysninger i registeret, og søkte i 2004 om konsesjon for en utvidelse. Datatilsynet mener det ikke er heldig å fremme konsesjonssøknad om utvidelse samtidig som forslag om registerets fremtidige utforming er til offentlig høring.
Lovfesting av Forsvarets helseregister
Datatilsynet var i sin høringsuttalelse svært kritisk til at Forsvarets helseregister skulle lovfestes slik forslag til lov om personell i forsvaret la til grunn. Forslaget var etter Datatilsynets mening utilstrekkelig begrunnet. Formålet med registeret ble utvidet i forhold til tidligere, og den foreslåtte bestemmelsen fremstod nærmest som en blankofullmakt til å forskriftsfeste det registeret Forsvaret til enhver tid måtte ønske seg. Man vurderte ikke personvernulempene noe sted i utkastet, til tross for at det ble hevdet at en slik gjennomgang er viktig.
Etter høringsrunden kom man frem til at det er hensiktsmessig å hjemle Forsvarets helseregister i helseregisterloven. Registeret blir dermed underlagt de samme reglene som andre sentrale personidentifiserbare helseregistre, og også underlagt de samme rettssikkerhets- og personvernskrankene. Det er vedtatt av Stortinget at Forsvarets helseregister hjemles i helseregisterloven § 8. Lovendringen trådte i kraft fra 1. januar 2005.
Landsomfattende helseundersøkelser og kvalitetsregistre
Datatilsynet ga i slutten av 2003 og begynnelsen av 2004 konsesjoner til en rekke av de store helseundersøkelsene. Blant annet Helseundersøkelsen i Nord-Trøndelag (HUNT), Tromsøundersøkelsen og Osloundersøkelsen ble tildelt konsesjoner for mange av sine prosjekter. Disse konsesjonene er i stor grad bygget over samme lest. Datatilsynet aksepterte en videreføring av samtykket som opprinnelig er innhentet, til tross for at det ikke er tilfredsstillende i forhold til de krav som stilles i dagens lovverk. Det ble imidlertid stilt vilkår for hvilke sammenhenger dataene kan benyttes i, og når man må innhente nytt samtykke og gi ny informasjon til de registrerte. Konsesjonen dekker ikke all bruk av dataene. I enkelte tilfeller krever bruk av disse dataene at det også søkes om ny konsesjon fra Datatilsynet. Dette er spesielt aktuelt dersom dataene skal utleveres til bruk i et prosjekt i regi av andre enn konsesjonsinnehaveren.
Kreftregisteret fikk flere nye konsesjoner. Noen av Kreftregisterets prosjekter har etter Datatilsynets oppfatning ikke kunnet dokumentere at de tilfredsstiller grunnleggende krav i helseregisterloven og personopplysningsloven. I fire av prosjektene har Datatilsynet gitt konsesjon med vilkår om at det må innhentes nytt samtykke for videre behandling av de registrerte data. Disse fire vedtakene er påklaget av Kreftregisteret.
I 2004 ble det også gitt nye konsesjoner til blant annet Nasjonalt leddproteseregister, Nasjonalt MS-register, Nasjonalt Korsbåndregister og Nasjonalt hjertestansregister.
Stor saksmengde gir bedre avklart praksis
Datatilsynet har behandlet en stor mengde saker på helse- og forskningsområdet etter at helseregisterloven og personopplysningsloven trådte i kraft i henholdsvis 2002 og 2001. Saksmengden har gitt et godt grunnlag for etablering av en mer ensartet praksis.
Flere avgjørelser i Personvernnemnda det siste året har videre klargjort tilsynets praksis og trukket opp viktige prinsipper for anvendelse av lovverket, spesielt forholdet til hvilket behandlingsgrunnlag ulike forskningsprosjekt kan hjemles i.
Overordnede prinsipper
Samtykke er utgangspunktet, men følgende argumenter kan vektlegges for å avvike fra utgangspunktet:
- innhenting av samtykke vil føre til lav deltagelse, og dette reduserer undersøkelsens verdi
- informasjon og reservasjonsadgang til den registrerte reduserer ulempene
- om undersøkelsen ikke medfører innhenting av nye opplysninger, anses ulempen å være mindre for de registrerte
- de registrertes antatte interesse for at forskningsprosjektet finner sted
Tilføring av nye opplysninger i sentrale forskriftsbaserte helseregistre må hjemles i forskrift. Datatilsynet har ikke myndighet til å gi konsesjon som utvider forskriftsbestemmelser.
Nedslående funn innen helseforskning
Er behandlingen helseopplysningene får innen forskningen betryggende? Etter å ha ført tilsyn med 50 forskningsprosjekter kunne ikke Datatilsynet se mange lyspunkter.
Datatilsynet satte ned en prosjektgruppe som gjennomførte tilsyn med 50 forskningsprosjekter våren 2004. Det ble ført tilsyn med 26 virksomheter innenfor ulike helseforetak, læresteder, forskningsinstitusjoner, samt legemiddelprodusenter. Prosjektet avdekket flere forhold som Datatilsynet ser alvorlig på. Tilsynet fant brudd på konsesjonsvilkår, ulovlig oppbevaring av sensitive personopplysninger, fravær av internkontroll og manglende oversikt over ansvarsplassering. Det er utarbeidet en egen rapport som redegjør for funn og tendenser i forbindelse med prosjektet. Rapporten er tilgjengelig på Datatilsynets hjemmeside.
Brudd på konsesjonsvilkår
Datatilsynet har valgt å stille konsesjonsvilkår knyttet til gjennomføringen av prosjekter for å få dem innenfor lovens rammer, snarere enn å avslå konsesjonssøknaden fullstendig. Konsesjonsvilkårene er dermed et viktig verktøy som også kommer forskere til gode.
Av de 17 prosjektene som hadde konsesjon, hadde 11 ikke fulgt konsesjonsvilkårene, uten at forskerne kunne gi noen god forklaring på dette. At konsesjonsvilkårene synes å bli etterlevd i bare seks av 17 prosjekter er et nedslående resultat.
Ulovlig oppbevaring av sensitive personopplysninger
I 15 av 33 kontrollerte prosjekter fant Datatilsynet at man ikke hadde gyldig hjemmelsgrunnlag i helseregisterloven og personopplysningsloven. For flere av prosjektene betyr det at forskeren ensidig har endret premissene for prosjektet uten at deltakeren er informert. Dette innebærer at samtykket ikke lenger er gyldig.
Lav sikkerhet og brudd på sletteplikt
Også når det gjelder den praktiske sikringen av opplysningene var resultatet nedslående. Av 31 relevante prosjekter betrakter Datatilsynet kun 17 til å være utført praktisk forsvarlig. Åtte prosjekter var utført delvis forsvarlig, mens hele seks ikke var forsvarlig utført.
Tilsynene viste også at det jevnt over var en dårlig ivaretakelse av sletteplikten. Med en gjennomgående mangel på internkontroll hos de behandlingsansvarlige er det grunn til å tro at det foreligger store mørketall på området.
Brudd på konsesjonsplikt
I tilsynsprosjektet er det i liten grad gjort forsøk på å avdekke om det finnes forskningsprosjekter som ikke er lagt frem for Datatilsynet eller personvernombudet. Det ble likevel avdekket to konsesjonspliktige forskningsprosjekter som det ikke er søkt om konsesjon for etter helseregisterloven og personopplysningsloven.
Mangel på internkontroll
Virksomheter som behandler personopplysninger skal ha et system for internkontroll for å sikre at pliktene etter personopplysningsloven og helseregisterloven blir overholdt. Rutinene skal sikre at de registrertes rettigheter som bl.a. retten til innsyn, informasjon, retting og sletting blir ivaretatt.
Funn fra tilsynene viste at det nærmest var et totalt fravær av internkontroll. Kun én av 29 virksomheter kunne dokumentere et tilnærmet fullstendig implementert internkontrollsystem.
Datatilsynet fulgte opp med fem tilsyn med utvalgte forskningsprosjekter høsten 2004, og har valgt ut forskning som et område for tilsyn også i 2005.
Høring om forskriftsendring for forskning
Datatilsynet sendte høsten 2004 ut et høringsforslag om å utvide unntaket fra konsesjonsplikt for forskning (personopplysningsforskriftens § 7-27). Systemet med meldeplikt foreslås opprettholdt som hovedregel. Det skal etter forslaget i større utstrekning legges vekt på etterkontroll i form av tilsyn. Høringsnotatet inneholder to alternative forslag til forskriftstekst. Innholdsmessig er forslagene ment å være like. Det første alternativet åpner for en relativt stor grad av skjønnsmessig vurdering fra forskerens side, mens det andre i større grad er konkretiserende.
Bakgrunnen for forslaget til endring er at Datatilsynet har sett at forhåndskontrollen ikke har hatt den ønskede virkningen i alle sammenhenger. Tilsynet mener at større fokus på etterkontroll vil kunne ha et større personvernmessig potensial. Høringsfristen var 31. desember 2004.
Forenkling av melde- og søknadsprosedyrer ved medisinsk forskning
Datatilsynet har sittet i en arbeidsgruppe, oppnevnt av Helsedepartementet i januar 2004, som vurderte forenkling og effektivisering av melde- og søknadsprosedyrer ved medisinsk forskning. Arbeidsgruppen bestod av deltakere fra Sosial- og helsedirektoratet, Helsedepartementet, Den nasjonale forskningsetiske komité for medisin og Datatilsynet. Arbeidsgruppen gjennomgikk eksisterende skjemaer og søknadsprosedyrer og foreslo alternative måter å forenkle og effektivisere utfylling og behandling av søknader og meldinger. Hensikten var å vurdere mulighetene for forenklinger innenfor dagens regel- og rammeverk i påvente av Nylennautvalgets innstilling.
Arbeidet resulterte i at det er blitt etablert en oversiktlig forskningsportal på De forskningsetiske komiteers hjemmeside (se www.etikkom.no/REK/forskerportal)
Portalen skal hjelpe forskere til å få en rask oversikt over hvilke melde- og søknadsprosedyrer de må gjennomgå for å starte et forskningsprosjekt. Det er dessuten utarbeidet en felles mal med momenter den enkelte forsker må igjennom ved utformingen av et informasjonsskriv.