Datatilsynet

Rapport

Kartlegging av blodbankenes behandling av personopplysninger/helseopplysninger

Oslo, 28. august 2002

Prosjekt: Kartlegging – Behandling av personopplysninger/helseopplysninger i norske blodbanker 2002. Rapporten er basert på blodbankenes svar på spørreskjema.	Utarbeidet av: Sverre Engelschiøn, Christine Ulrichsen, Monica Fornes og Rune-Vidar Bråthen
Dato: 23. august 2002	Antall sider: 9
Dokumentets formål: Gi en samlet oversikt over forholdet til personvern i landets blodbanker. Rapporten skal blant annet bidra som grunnlag for påfølgende stedlige kontroller høsten 2002.

1 Innledning

Alle landets blodbanker fikk den 22. mai 2002 tilsendt et spørreskjema fra Datatilsynet. Hensikten var å kartlegge blodbankenes rutiner for behandling av personopplysninger og helseopplysninger tilknyttet biologisk materiale. Rapporten er basert på besvarelser fra 54 blodbanker.

Kartleggingen er i hovedsak begrenset til de såkalte blodgiverregistre, herunder muligheten for å finne tilbake til blodgiveren på grunnlag av opplysninger tilknyttet blodproduktene. Blodbankene ble blant annet også spurt om forholdet til konsesjoner og i hvilken grad innsamlet blod blir brukt til andre formål enn blodoverføring.

Denne rapporten er ment å gjengi hovedtrekkene i kartleggingen.

2 Oppsummering

For lite kunnskap om personvernlovverket - konsesjonsplikt etter helseregisterloven

Det går fram av Datatilsynets kartlegging at landets blodbanker har for lite kunnskap om personvernlovgivningen.

Tilvirkere av blodprodukter skal ha en såkalt tilvirkertillatelse fra Statens legemiddelverk. Alle tilvirkere har et register med opplysninger om blodgiverne, i rapporten omtalt som blodgiverregister. Disse opplysningene er til dels svært personsensitive. De øvrige sykehusene kjøper blodprodukter etter behov, og har ikke et slikt register med opplysninger om blodgiverne.

Det innkomne materialet gir inntrykk av at de ansvarlige for de aller fleste blodbankene ikke har satt seg tilstrekkelig inn i reglene for behandling av helseopplysninger. Blodgiverregistrene er konsesjonspliktige etter helseregisterloven § 5. Kun et fåtall av blodbankene har konsesjon fra Datatilsynet.

Til tross for at Datatilsynet, i følgebrevet til spørreskjemaet, presiserte at det var konsesjonsplikt, har enkelte foretak anført at konsesjon ikke er påkrevet fordi IT-avdelingen, eller andre personer tilknyttet sykehuset, hevder det.

I konsesjonen settes det blant annet vilkår for informasjon til blodgiver, samtykke til annen bruk, sletting og oppbevaring og sikring av informasjonen.

Oppbevaring i 99 år

Helse- og personopplysninger som samles inn i tilknytning til blodgivningen oppbevares gjennomgående i 99 år. Dette er ikke et lovpålagt krav, men følger av retningslinjer gitt blodbankene av Statens helsetilsyn. Når det gjelder rutiner for destruksjon av blodet er ikke praksis like entydig. Det er variasjoner med henhold til lagringstid ettersom hva blodet skal benyttes til og hvordan det er bearbeidet, men også mellom de enkelte blodbankers praksis.

Informasjon og samtykke til annen bruk

Blodgiverne får relativt mye informasjon om de praktiske rutinene i tilknytning til tappingen, kroppens behov for jern, ubehag, bivirkninger m.m. Blodgiveren får gjennomgående også informasjon om hvilke tester blodet underlegges. Det synes imidlertid ikke å bli gitt informasjon om hvordan opplysningene som oppgis blir behandlet, og om rettigheter etter helseregisterloven.

Blodet brukes normalt til pasientbehandling, men i enkelte tilfeller er det også ønske om å bruke blodet i forskningsarbeid. I slike tilfeller skal blodgiveren avgi en særskilt samtykkeerklæring basert på grundig informasjon om den videre bruken.

I det innkomne materialet finnes et fåtall samtykkeerklæringer til annen bruk, til tross for opplysninger som viser at flere av blodbankene har brukt blod også til andre formål enn pasientbehandling. De samtykkeerklæringene som finnes i materialet er jevnt over ikke tilstrekkelig informative.

Datatilsynet ikke tilfreds med resultatet av kartleggingen

Datatilsynet skal føre tilsyn med at personvernlovgivningen blir fulgt, og kan ikke si seg tilfreds med at det konstateres så omfattende avvik hos blodbankene. Opplysningene fra kartleggingen vil bli brukt og verifisert i forbindelse med Datatilsynets kontrollarbeid.

Rapporten vil også kunne være et redskap i kommunikasjon med blodbankene/helseforetakene.

3 Mandat

Følgende mandat lå til grunn for prosjektet:

”Prosjektet skal redegjøre for generelle normer med hensyn hvordan blod innsamles til landets blodbanker og hvordan det benyttes, herunder hvordan donorene informeres om bruken. Sentrale spørsmål vil være om avgitt blod brukes i forskningsprosjekter i regi av blodbanken, utleveres til eksterne prosjekter og i hvilken grad donoren eventuelt har samtykket til dette. Av konkrete forhold kan nevnes avlevering til det såkalte Janus-prosjektet.

Det skal i rapporten også redegjøres for de juridiske aspektene ved behandlingene i blodbankene, herunder konsesjonsplikten.”

4 Feilkilder

Alle landets blodbanker ble kontaktet og bedt om å besvare et spørreskjema. Det viste seg vanskelig å innhente oppdatert oversikt over alle blodbankene. Skjema ble derfor også sendt ut til enkelte helseforetak som ikke lenger drev blodbank. Totalt ble spørreskjema sendt til 63 helseforetak, hvorav 8 ikke lenger drev blodbank. En blodbank besvarte ikke henvendelsen, selv etter purring.

Antallet objekter som ligger til grunn for kartleggingen danner et meget representativt bilde av en bransje/sektor. Rapporten er imidlertid ikke ment å være egnet til å reflektere annet enn generelle tendenser. Datatilsynet har tilsynsansvar etter personvernlovgivningen, og funnene i kartleggingen vil bli søkt verifisert ved stedlige kontroller.

Datatilsynet har mottatt enkelte tilbakemeldinger som gir inntrykk av at noen av spørsmålene kunne fremstå som noe uklare. Tilbakemeldingene gjaldt særlig om hvorvidt termen ”biologisk materiale” også var ment å omfatte blod. Datatilsynet ser i ettertid at det kunne vært ytterligere presisert, men meningen var at spørsmålene, med unntak av spørsmål 4, skulle omfatte alt innsamlet biologisk materiale, herunder blod.

Til tross for at det er det enkelte helseforetaks direktør som er databehandlingsansvarlig for blodbankene, jf. helseregisterloven § 2 nr. 8, ble henvendelsene sendt til blodbankene direkte. Dette hadde bakgrunn i en antagelse om at ledelsen i de enkelte blodbankene hadde fått delegert ansvar til å besvare denne type undersøkelser. Tilsynet la også til grunn at helseforetakene hadde klare rutiner for å utveksle informasjon og rette forespørsler til andre avdelinger i foretaket dersom det forelå uklarheter med hensyn til faktiske eller juridiske spørsmål. Den operative ledelsen i blodbankene forutsettes i alle tilfelle også å være kjent med de regler som blodbanken skal forholde seg til.

Datatilsynet har fått mange henvendelser hvor henholdsvis foretakets ledelse eller IT-avdeling/blodbank ønsker kopi av sine egne besvarelser. Dette kan gi inntrykk av manglende kommunikasjon internt i helseforetaket, noe som kan ha innvirket på besvarelsenes validitet.

Besvarelsene kan gi inntrykk av at helseregisterlovens terminologi ikke er tilstrekkelig kjent. Begrepsforvirring synes særlig å være fremtredende når det gjelder begrepet databehandler og forskjellen mellom avidentifiserte og anonymiserte opplysninger. Den manglende kjennskapen til denne type lovdefinerte begreper kan ha ført til at besvarelsene gir inntrykk av større avvik enn det som rent faktisk er tilfelle.

Sett i forhold til den tiltenkte bruk av materialet synes ovennevnte feilkilder å være av en slik karakter at det ikke er grunn til å trekke det samlede grunnlag i tvil.

5 Nærmere om kartleggingen og resultat

Kartleggingen var i hovedsak begrenset til nærmere bestemte tema knyttet til det såkalte blodgiverregisteret. I teksten nedenfor gis det en kort redegjørelse for hovedfokuset under kartleggingen og resultatene.

Konsesjonsplikt

Datatilsynet er av den oppfatning at blodgiverregisteret og tilhørende behandlinger av helseopplysninger er konsesjonspliktig etter helseregisterloven § 5.

Blodbankene inngår som en del av helseforetakene, og det er direktøren for foretaket som helhet som er den databehandlingsansvarlige slik det er definert i helseregisterloven § 2 nr. 8. Det daglige ansvaret må imidlertid antas å være delegert til lederen ved den enkelte blodbank.

Blodprodukter til human- og veterinærmedisinsk bruk er legemidler, jf. § 2 i lov av 4 desember 1992 nr. 132 om legemidler. Blodbanker som produserer cellulære blodprodukter og plasma for fraksjonering anses således som legemiddelprodusenter. Loven er ikke av en slik karakter at den kan sies å hjemle et unntak fra konsesjonsplikten for helseforetakenes blodgiverregister.

Statens helsetilsyn har utgitt Retningslinjer for GMP i blodbanker (veiledningsserie 1-96, IK 2527) og Retningslinjer for transfusjonstjenesten i Norge (1-97 IK 2590). Disse to retningslinjene utfyller hverandre og oppgir å utgjøre de spesifikke myndighetskravene for blodbankene, i tillegg til bestemmelsene som er gitt i, eller i medhold av, legemiddellovgivningen, helsepersonelloven og spesialisthelsetjenesteloven. De omhandler imidlertid bare i svært begrenset utstrekning personvernaspektene tilknyttet blodgiverregister, og det er heller ikke henvist til personvernlovgivningen.

For øvrig følger av rundskriv fra Statens helsetilsyn fra 07.05.1999 (IK-12/99), at plasmaprøve anses som en del av blodbankens råvaredokumentasjon, med oppbevaringstid 2 år.

Blodbankene har i stor grad anført at journalforskriften, som er gitt med hjemmel i helsepersonelloven, regulerer blodgiverregistrene. Dette er en oppfatning som kan ha grunnlag i Retningslinjer for GMP i blodbanker (veiledningsserie 1-96, IK 2527) og Retningslinjer for transfusjonstjenesten i Norge (1-97 IK 2590).

En slik tolkning ville innebære at blodgiverregisteret var å anse som et behandlingsrettet helseregister, jf. helseregisterloven § 7. Datatilsynet har vurdert forholdet til helseregisterloven § 7, men ser ikke å kunne karakterisere registeret som behandlingsrettet. Behandlingsrettede registre må som utgangspunkt ha til formål å yte helsehjelp til den registrerte, det vil i dette tilfellet si blodgiveren. Formålet med blodbanker og blodgiverregistre er ikke primært å yte helsehjelp til blodgiveren, men pasienter som har behov for blodprodukter. Den alminnelige blodgiver kan vanskelig karakteriseres som en pasient.

Datatilsynet vil imidlertid ta opp dette forholdet med aktuelle helsemyndigheter for en nærmere avklaring.

Av de 54 som besvarte henvendelsen hadde kun 5 helseforetak konsesjon for blodgiverregister. Mange foretak besvarte ikke dette spørsmålet i spørreskjemaet, mens andre hevdet at de hadde konsesjon, uten at det medførte riktighet. Enkelte ga også uttrykk for at helseforetaket hadde en generell konsesjon som også omfattet blodbanken.

Datatilsynet finner dette beklagelig: Det enkelte foretak har en selvstendig plikt til selv å undersøke hvilke regelverk som gjelder for virksomheten, og følge dette. Det begrensede antallet konsesjoner kan gi inntrykk av manglende kjennskap til regelverket og et lite gjennomtenkt forhold til personvern.

Tilgang til direkte identifiserbare opplysninger

Datatilsynet var interessert i å kartlegge hvor mange av de ansatte ved blodbankene, og eventuelt helseforetaket for øvrig, som har tilgang til opplysninger fra blodgiverregistrene. Dette har sammenheng med det grunnleggende personvernprinsippet at ingen skal ha tilgang til andre personopplysninger enn de som er nødvendig for å utføre sine arbeidsoppgaver.

På grunnlag av besvarelsene kan det synes om en meget stor andel av de som arbeider i blodbankene har tilgang til direkte identifiserbare opplysninger om blodgiverne. Datatilsynet har ikke grunn til å anta at dette ikke i stor grad også gjelder de mer personsensitive opplysningene i blodgiverregisteret.

Enkelte blodbanker synes også å ha en så nær tilknytning til helseforetaket for øvrig, at det kan tenkes situasjoner hvor foretakets øvrige personell har tilgang til opplysninger om blodgiverne. Dette er et forhold som bør undersøkes nærmere.

Eksterne aktører (databehandlere) synes å være hyppig brukt for virustesting av blodprodukter. Datatilsynet antar at disse i relativt stor utstrekning har opplysninger som kan muliggjøre identifisering av blodgiveren. Tilsynet har imidlertid ikke grunn til å anta at disse har tilgang til andre person/helseopplysninger.

Annet biologisk materiale enn blod

Det var også interessant å kartlegge om noen av blodbankene behandlet annet biologisk materiale enn blod, primært med tanke på bruk av slikt materiale i forskningsprosjekter.

Tilbakemeldingene indikerer at blodbankene i svært liten utstrekning behandlet annet biologisk materiale enn blod. Dette var begrenset til urin og stamceller til transplantasjon. Materialet ble etter det opplyste ikke utlevert til forskningsprosjekter.

Identifiserbare opplysninger på blodproduktene

Retningslinjer for GMP i blodbanker (IK 2527) pkt. 5.8, regulerer hvilke opplysninger etiketten på produktet skal inneholde. Dette er bl.a ”et identifikasjonsnummer som er unikt for hver produktenhet, og som kan brukes til sporing av blodgiverens(-ernes) identitet”. I helseregisterlovens terminologi er blodproduktene, sammenholdt med blodgiverregisteret, avidentifiserte helseopplysninger, jf. helseregisterloven § 2 nr. 2.

Det er relativt store variasjoner i svarene på denne del av spørreskjemaet, noe som trolig har sammenheng med manglende kjennskap til helseregisterlovens begreper ”anonym” og ”avidentifisert”.

Datatilsynet vil anta at blodprodukter gjennomgående er identifisert kun med tappenummer i samsvar med Retningslinjer for GMP i blodbanker, og at en på grunnlag av tappenummeret kan finne tilbake til den enkelte blodgiver. Det synes imidlertid som om andre blodprøver, som tas i tilknytning, til tappingen er direkte identifiserbare ved navn.

Enkelte blodbanker opplyser imidlertid at SAG-blod er avidentifisert når det forlater blodbanken, men direkte identifiserbart i perioden det er i blodbanken. Plasma derimot er anonymisert. Andre igjen har svart at materialet oppbevares i direkte identifiserbar stand.

Datatilsynet etterlyser en enhetlig praksis med fundament i vurderinger av behovet for å finne tilbake til blodgiveren og personvern.

Informasjon som gis til blodgiverne

En sentral pilar i helseregisterloven er kravet om at den enkelte skal samtykke til at det behandles helseopplysninger om en selv. Herunder også i forbindelse med eventuell annen bruk enn blodoverføring, typisk i forskningsøyemed. Det heter i loven at samtykke skal være informert, hvilket innebærer at den enkelte skal forstå hva samtykket innebærer.

Blodgiverne får relativt mye informasjon om de praktiske rutinene i tilknytning til tappingen, kroppens behov for jern, ubehag, bivirkninger m.m. Blodgiveren får gjennomgående også informasjon om hvilke tester blodet underlegges. Det synes imidlertid ikke å bli gitt informasjon om hvordan opplysningene, som oppgis, blir behandlet og om rettigheter etter personvernlovgivningen (helseregisterloven).

Standardskjemaet for blodgivere gir ikke informasjon som pålagt i helseregisterlovens § 23. Ansvaret ligger hos det enkelte helseforetak. Kun et fåtall av blodbankene har utarbeidet tilleggsinformasjon. I den grad slik informasjon er utarbeidet, synes også denne å være mangelfull.

Samtykke kun basert på standardinformasjonen kan ikke sies å ha tilstrekkelig reelt innhold. Datatilsynet konstaterer at dette er et forhold som det bør settes økt fokus på.

I den grad blod skal benyttes i enkeltstående forskningsprosjekter, eller inngå i biobanker som f. eks Janus-banken, forutsetter det strenge krav til informasjon.

Det er viktig å skille mellom tilfeller der blod er fullstendig anonymisert, og der det direkte eller indirekte er mulig å spore tilbake til blodgiveren (avidentifisert). Det foreligger et standard informasjonsskriv og samtykkeerklæring for bruk av mindre og anonymiserte blodprøver til forskningsprosjekter. Denne informasjonen er fra et personvernmessig syn tilstrekkelig, i den grad blodprøvene faktisk er helt anonyme. I den grad det utleverte blod er mulig å spore tilbake til blodgiveren, er samtykkeerklæringen ikke tilfredsstillende. Sett hen til mange av blodbankenes tilsynelatende manglende kjennskap til begrepene ”anonymitet” og ”avidentifisert”, slik de er definert i helseregisterloven, er det nærliggende å anta at mange blodprøver er utlevert til forskningsprosjekter i avidentifiserbar stand, og ikke anonymisert. Samtykket vil i disse tilfellene ikke være gyldig.

Hvor lenge opplysninger og blod oppbevares

Det er angitt i de fleste svar at opplysningene oppbevares i 99 eller 100 år, jf Retningslinjer for GMP i blodbanker (IK 2527). Det følger av veiledningen pkt. 4.2.9 at dokumenter (skjema) som brukes ved registrering av nye blodgivere, og de skjema blodgiverne fyller ut ved hver tapping, skal oppbevares i minst 99 år.

Når det gjelder selve blodmaterialet er tidspunktet for destruksjon avhengig av materialets art, men det synes også å være relativt store forskjeller fra blodbank til blodbank. Blodet blir destruert etter henholdsvis 5, 7, 35 og 60 døgn, ett, to, tre og fem år. Under forutsetning av at materialet oppbevares i identifiserbar stand (direkte eller indirekte), er helseregisterloven relevant ved vurderingen av når materialet skal destrueres.

Bruk til forskning

De færreste blodbanker oppgir å ha utlevert blodmateriale til forskningsformål. Tilsvarende gjelder interne studier ved blodbanken. Enkelte av blodbankene oppgir imidlertid å forestå en relativt hyppig utlevering, men hovedtyngden av utleveringene er relativt få og gjelder enkeltstående studier.

Det er få blodbanker som oppgir å ha rutiner for å sikre at tilrådning fra Regional komité for medisinsk forskningsetikk (REK) og konsesjon fra Datatilsynet er innhentet, før materialet eventuelt utleveres.

Det er utarbeidet et standard informasjonsskriv for bruk av mindre og anonymiserte blodprøver til forskningsprosjekter, som synes å være benyttet i relativt stor utstrekning. Nærmere om dette, se punktet ovenfor om informasjon som gis til blodgiverne.

Genetiske undersøkelser

Kun seks av blodbankene opplyser at blodmateriale er brukt til genetiske undersøkelser. Dette er primært relatert til personer som ønsker å bli beinmargsgiver, og således inngå i det såkalte benmargsregisteret. En av blodbankene opplyste også at anonymt materiale ble benyttet til dna-ekstraksjon.

To av blodbankene opplyste at det tidvis ble benyttet en genteknologisk metode for å påvise hepatitt C. Datatilsynet finner det ikke unaturlig å anta at denne metoden også benyttes av andre blodbanker, eventuelt eksterne aktører som forestår testing (databehandlere).

Annen bruk

Med annen bruk var ment annet enn pasientbehandling og forskning. Kvalitetskontroll og kvalitetssikring utføres i stor grad. Også produksjon av blodagarskåler synes å være utbredt.

Blodet ble av en av blodbankene brukt til kontrollmateriale innen medisinsk biokjemi.

Rutiner ved krav om innsyn, retting, sletting eller destruksjon

Ingen av blodbankene synes å ha rutiner ved krav om innsyn, retting, sletting eller destruksjon som er i samsvar med helseregisterloven. Kun to av blodbankene oppga å ha rutiner for klagebehandling, men denne er ikke tilstrekkelig informativ etter helseregisterlovens krav.

Relativt mange blodbanker opplyste at denne type krav ble behandlet i samsvar med reglene i helsepersonelloven og journalforskriften. Datatilsynet tiltrer ikke umiddelbart en slik forståelse av bestemmelsene, men vil, på grunn av den relativt store grad av slike tilbakemeldinger, diskutere spørsmålet med sentrale helsemyndigheter.

Implementering av helseregisterloven og krav til internkontroll

Helseregisterloven trådte i kraft 1. januar 2002. Blodbankene som har konsesjon etter den tidligere personregisterloven må, etter overgangsreglene, først ha implementert det nye regelverket og sendt søknad om konsesjon innen 1. januar 2003. De øvrige blodbanker skulle ha implementert helseregisterloven ved lovens ikrafttredelse.

Internkontrollbestemmelsen er ny i forhold til personregisterloven, og sentral i vurderingen av om regelverket er implementert eller ikke.

Det synes, i de fleste blodbankene, å være usikkerhet med hensyn til om loven og internkontrolbestemmelsene er implementert. Denne usikkerheten indikerer at regelverket ikke er implementert i virksomheten, i beste fall at innholdet i internkontrollrutinene ikke er formidlet på en korrekt måte.

Flere blodbanker anfører å ha et internkontrollsystem i samsvar med helseregisterloven, men det synes ikke alltid å samsvare med svar på de øvrige spørsmål. For eksempel kan nevnes at et internkontrollsystem vanskelig kan være i samsvar med helseregisterloven, dersom det ikke foreligger rutiner for innsyn, retting og sletting.

Datatilsynet er innforstått med at det har vært enkelte uklarheter med hensyn til forståelsen av helseregisterloven, men finner det beklagelig at loven synes å være implementert i så begrenset utstrekning.

Informasjonssikkerhet

De fleste blodbanker er tilgjengelige via internettsiden www.giblod.no. Retningslinjer for GMP i blodbanker (IK 2527) pkt. 4.7 gjelder ”Ikke skriftlige dokumenter”, og nedsetter enkelte generelle krav med hensyn til prosedyrer ved bruk av edb. Disse prosedyrene er av så enkel karakter at de ikke kan anses å ha selvstendig betydning sammenholdt med kravene til informasjonssikkerhet etter helseregisterloven.

E-post synes å bli benyttet i kontakt med blodgivere i relativt stor grad, men i hovedsak begrenset til forespørsler om å komme til tapping og generell informasjon. Datatilsynet innehar for lite informasjon til å si noe generelt om i hvilken utstrekning e-post mottas/sendes fra maskiner tilknyttet blodgiverregisteret, og således utgjør en sikkerhetsrisiko for blodbankene.

Videre synes det å være relativt utbredt med felles databaser for blodbanker. Eksempelvis kan nevnes at Odda, Haukeland, Stord og Voss helseforetak har felles databaser. Dette til tross for at en av disse aktørene anfører at nettet er ”lukket”. Videre har også helseforetakene Notodden, Rjukan og Kragerø felles database. Tilsvarende gjelder for Ski og AHUS.

Rikshospitalet har tilgang til opplysninger om egne pasienter i Blodbanken i Oslo

Vedlegg 1

Undersøkelse om behandling av person/helseopplysninger i blodbankene 2002

1 Innehar virksomheten konsesjon fra Datatilsynet? I tilfelle fra når, og med hvilket referansenummer

Svar:

2 Hvor mange blodgivere er registrert ved virksomheten (aktive/passive/tidligere)

Svar:

3 Hvor mange ansatte eller andre har tilgang til direkte identifiserbare opplysninger om blodgiverne

Svar:

4 Behandles annet biologisk materiale enn blod, eventuelt hvilket materiale?

Svar:

5 Oppbevares materialet anonymisert, avidentifisert eller direkte identifiserbart (angi eventuell fordeling i prosent)

Svar:

6 Hvilken informasjon gis til blodgiveren ved avgivelse av biologisk materiale. Dersom standard informasjon, legg ved kopi

Svar:

7 Etter hvor lang tid blir personopplysningene om blodgiveren slettet?

Svar:

8 Oppbevares deler av materialet hos eksterne aktører (databehandlere)? Eventuelt hvor stor andel.

Svar:

9 Etter hvor lang tid blir det biologiske materialet destruert?

Svar:

10 Foreligger rutiner for å behandle krav fra donoren om innsyn, retting, sletting eller destruksjon. Dersom skriftlig, legg ved

Svar:

11 Benyttes blodet og opplysningene om blodgiverne til annet enn blodoverføring, i tilfelle hva:

A) Forskning internt ved blodbanken?

Svar:

I tilfelle hvor mange prosjekter årlig?

Svar:

B) Forskningsformål utenfor blodbanken (eks. sykehuset for øvrig, andre forskere, Janus-banken)?

Svar:

I tilfelle hvor mange prosjekter årlig?

Svar:

C) Annen bruk?

Svar:

I tilfelle hva?

Svar:

12 Benyttes det biologiske materialet til genetiske undersøkelser?

Svar:

13 Er det tatt kontakt med blodgivere på grunnlag av funn i studier?

Svar:

14 Er det rutiner for å sikre at materialet ikke utleveres til prosjekter uten at forholdet til De regionale komiteer for medisinsk forskningsetikk (REK) og Datatilsynet er avklart?

Svar:

15 Dersom materiale utleveres til studier basert på samtykke, legg ved erklæring og informasjon som forelegges blodgiverne.

Svar:

16 Har virksomheten et internkontrollsystem samsvarende med helseregisterloven § 17. Hvis ikke, når er det planlagt implementert?

Svar:

17 Utføres behandlingen av helseopplysninger i henhold til helseregisterloven § 16, jf. personopplysningsforskriften kapittel 2? Hvis ikke, når er det planlagt implementert?

Svar:

18 Føres opplysningene i edb-system som er tilknyttet eksternt datanett (for eksempel Internett)?

Svar:

19 Overføres helseopplysninger i eksternt datanett (eks. Internett)?

Svar:

20 Benyttes e-post/Internett i kontakt med blodgiverne?

Svar: