16 Forskning på helseopplysninger

16.1 Innledning

Helseopplysninger som benyttes i medisinsk og helsefaglig forskning kan hentes fra mange ulike kilder. Opplysningene kan være gitt av pasienten selv gjennom et spørreskjema, intervju eller liknende, eller de kan hentes fra andre kilder, for eksempel pasientjournal, helseregistre eller opplysninger utledet fra humant biologisk materiale. Hvordan opplysningene hentes inn vil ha betydning for hvor sensitive de er og hvordan de bør behandles. Dette vil være en vurdering den regionale komiteen for medisinsk og helsefaglig forskningsetikk (REK) må ta stilling til i forbindelse med godkjenning av forskningsprosjekter. Herværende lovforslag tilstreber at reglene for behandling av opplysningene underlegges mest mulig lik regulering når de først er tatt inn i et godkjent forskningsprosjekt.

Utvalget foreslår nye bestemmelser i den nye helseforskningsloven som skal gjelde i stedet for personopplysningsloven og helseregisterloven. Bestemmelsene som utvalget foreslår om helseopplysninger må ses i sammenheng med de øvrige bestemmelsene i lovforslaget. Dette gjelder særlig bestemmelsene om samtykke og bruk av biologisk materiale.

16.2 Gjeldende rett

Dagens regler om behandling (herunder innsamling, registrering, sammenstilling, lagring og utlevering) av helseopplysninger i medisinsk og helsefaglig forskning følger i hovedsak av personopplysningsloven og helseregisterloven med forskrifter, samt helsepersonellovens bestemmelser om dispensasjon fra taushetsplikt, jf. omtalen i punkt 16.6.1.

De aktuelle behandlingsgrunnlagene for medisinsk og helsefaglig forskning er i dag

• hjemmel direkte i lov

• hjemmel i forskrift

• hjemmel i konsesjon eller unntak fra konsesjonsplikt

Helseregisterloven § 8 gir hjemmelsgrunnlag for å etablere registre og gir regler om behandling av opplysninger fra disse registrene. Det er gitt forskrifter for de fleste sentrale helseregistrene i medhold av § 8. Alle forskriftene har formålsbestemmelser, og forskning er ett (av flere) formål med bruken av de ovennevnte registrene. Forskriftene gir nærmere regler om adgangen til å sammenstille opplysninger fra vedkommende register med andre helseopplysninger, og om utlevering av opplysninger. Utlevering av opplysninger kan normalt bare skje i avidentifisert form og dersom vilkår i forskriftene er oppfylt. Dersom det skal utleveres personidentifiserbare opplysninger fra (de personidentifiserbare) helseregistrene kreves det konsesjon fra Datatilsynet.

Helseregisterloven gir en definisjon av begrepene anonyme opplysninger, samt avidentifiserte og pseudonyme helseopplysninger. For en nærmere utdyping av disse begrepene vises det til punkt 16.3.1 og spesielle merknadene til § 4 i lovforslaget.

Helseregisterloven gir også føringer for selve behandlingen av helseopplysninger. Det følger blant annet av § 11 at all behandling av helseopplysninger skal ha et uttrykkelig angitt formål. Loven angir også en rekke rettigheter for de registrerte når det gjelder rett til generell og spesiell informasjon, rett til innsyn og i enkelte til­feller rett til retting eller sletting av helseopp­lysninger. Helseregisterloven § 27 stiller opp et forbud mot å lagre helseopplysninger lenger enn nødvendig for å gjennomføre behandlingen av opplysningene.

Reglene om behandling av helseopplysninger henger nært sammen med reglene for godkjenning av forskningsprosjekter, da det i mange tilfeller i praksis er tillatelse fra Datatilsynet som angir rammene for innsamling, registrering, sammenstilling, lagring, utlevering m.v. av opplysninger i medisinsk og helsefaglig forskning.

Det vises for øvrig til kapittel 4.2 om gjeldende rett.

16.3 Helseopplysninger – begrepsbruk

16.3.1 Gjeldende rett

Definisjonene av de ulike typene helseopplys­ninger er regulert i helseregisterloven § 2. Det vises for øvrig til de spesielle merknadene til § 4 i denne proposisjonenes lovutkast.

16.3.2 Forslaget i NOU 2005:1

Utvalget definerer helseopplysninger som «opplysninger og vurderinger vedrørende helseforhold som direkte eller indirekte kan knyttes til en enkeltperson». Ny helseforskningslov vil ikke gjelde for anonymiserte helseopplysninger, da dette ikke er helseopplysninger i lovens forstand. Med anonymisering mener utvalget fjerning av navn, fødselsnummer og andre personidenti­fiserende kjennetegn, slik at helseopplysninger eller humant biologisk materiale ikke lenger kan knyttes til en enkeltperson.

Utvalget foreslår å dele helseopplysninger i to undergrupper, åpne helseopplysninger og helseopplysninger med skjult identitet . Med skjult identitet har utvalget ment:

«... helseopplysninger der identitet er kryptert eller skjult på annet vis men likevel individualisert slik at det lar seg gjøre å følge den enkelte person .»

Med åpen identitet menes opplysninger som er direkte personidentifiserbare. Bakgrunnen for utvalgets forslag er at utvalget mener at de begreper som i dag benyttes i helseregisterloven, fremstår som lite tilgjengelige for de fleste aktører på dette feltet. Utvalget anbefaler derfor ikke å bruke begrepet avidentifiserte helseopplysninger, jf. helseregisterloven § 2 nr. 2, da dette er egnet til å ­forvirre. Kategoriene åpne og skjulte helseopplysninger viser til i hvilken grad opplysningene kan knyttes til den person opplysningene gjelder, og rettsvirkningene er derfor forskjellige. Personvernhensynene vil komme inn med ulik tyngde alt ettersom opplysningene er åpne (direkte person­identifiserbare) eller skjulte (indirekte person­identifiserbare). Åpne (direkte personidentifiserbare) helseopplysninger er mest sensitive, og fordrer størst aktsomhet.

Utvalget foreslår at det som hovedregel skal benyttes helseopplysninger med skjult identitet i medisinsk og helsefaglig forskning. Bruken av åpne helseopplysninger i medisinsk og helsefaglig forskning bør begrenses til forskning hvor det er helt nødvendig, for eksempel intervensjonsstudier. Et mindretall som foreslår å beholde dagens begreper, foreslår også en alternativ hovedregel for bruk av helseopplysninger. Det alternative forslaget er begrunnet med at det må være strenge krav til pseudonymisering, og anonymisering må være et vilkår for den vide adgangen til helseopplysninger forskere får etter helseforskningsloven.

16.3.3 Høringsinstansenes syn

Landsforeningen for hjerte- og lungesyke støtter mindretallets forslag til bruk av det innarbeidede begrepet pseudonyme helseopplysninger.

Norsk samfunnsvitenskapelig datatjeneste AS (NSD) mener at dagens regelverk er et godt instrument for å ivareta forskningens behov for bruk av personopplysninger. NSD mener at begrepet skjult identitet ikke er klargjørende, og viser til at utvalget både beskriver dette som av­identifisering og kryptering. NSD stiller seg uforstående til at utvalget avviser begrepet og teknikken om avidentifisering uten videre begrunnelse. NSD mener dette er ekstra påtakelig, ettersom de fleste forskningsprosjekter i dag faktisk behandler data i avidentifisert form for å sikre deltakernes konfidensialitet og personvern. Utvalgets forslag om nye begreper vil ikke føre til forenkling og forbedring, men bare et tillegg i begrepsjungelen fordi Datatilsynet, SSB og andre registereiere vil bruke de allerede eksisterende begreper.

Helse Bergen HF støtter flertallets forslag til begreper.

Den nasjonale forskningsetiske komité for medisin (NEM) foretrekker å beholde bestemmelsene i personopplysningsloven om forskning fremfor de bestemmelsene som utvalget foreslår. NEM uttaler at det er uklart hva som ligger i begrepene skjult og åpen identitet. Dersom utvalget mener pseudonymisering som ikke kan reverseres, vil dette umuliggjøre nyttig epidemiologisk forsk­ning. Dette vil være det motsatte av å fremme god helsefaglig og medisinsk forskning. NEM mener at avidentifisering er fullt forsvarlig. Dersom det stilles krav om at kobling mellom ulike registre bare kan skje uten samtykke når materialet har skjult identitet, vil mye epidemiologisk forskning gjøres umulig.

Kreftregisteret mener at begrepet helseopplysninger også skal omfatte opplysninger som kan ha betydning for helsen, for eksempel demografiske forhold og yrkesforhold.

Datatilsynet mener at innføringen av nye begreper ikke vil forenkle, og det stilles spørsmål om hva som ligger i begrepet skjult identitet.

Universitetet i Tromsø mener at uklarheten rundt begrepene åpne og skjulte opplysninger gjør det vanskelig å utlede konsekvensene av disse bestemmelsene. Det mener videre at det er en reell fare for at epidemio­logisk forskning vil bli vanskelig å gjennomføre. Universitetet savner en klargjøring og diskusjon av datasikkerhetsmessige prinsipper og løsninger som både ivaretar behovet for lagring av person­identifikasjon over tid og sikrer personvernet. Et utstrakt krav til pseudonymisering og kryptering vil for mange forskningsprosjekter medføre en forvanskning etter universitets vurdering. Det anføres at avidentifisering vil gi et godt personvern for svært mange prosjekter.

Nasjonalforeningen for folkehelsen støtter begrepet skult identitet dersom det forstås som ulike former for avidentifisering som gjør det mulig å finne tilbake til den enkelte studiedeltaker.

Statistisk sentralbyrå mener det er uheldig at det innføres et nytt begrep «skjulte opplysninger» som beskrives som pseudonyme opplysninger, men gis et annet innhold enn definisjonen av dette begrepet.

Sosial- og helsedirektoratet er i utgangspunktet positive til hensikten bak inndelingen i åpne og skjulte helseopplysninger, men det må avklares hva som ligger i begrepet «helseopplysninger med skjult identitet», og hvorvidt pseudonymiseringen kan reverseres. Sosial- og helsedirektoratet mener videre at skillet mellom åpne og skjulte opplysninger svekker personvernet uten at dette er tydeliggjort og begrunnet.

16.3.4 Departementets vurderinger og forslag

Departementet går ikke inn for å innføre begrepene skjult og åpen identitet for medisinsk og helsefaglig forskning. Utvalgets begrunnelse for å innføre nye begreper er at utvalget mener dagens begreper har uklart innhold. Utvalget går imidlertid ikke nærmere inn på i hvilke tilfeller det er uklart hva som er avidentifiserte opplysninger. Departementet mener det ikke vil være klar­gjørende å innføre nye begreper, som igjen må fylles med meningsinnhold.

Videre er den beskrivelsen som utvalget gir av skjulte opplysninger tilnærmet den samme som for avidentifiserte opplysninger etter gjeldende rett. Utvalget beskriver skjulte helseopplysninger som opplysninger der personidentifiserbare kjennetegn

«er skjult for alle som bruker opplysningene, bortsett fra de som må ha adgang for å koble pseudonymet og personidentiteten. Skjuling av identiteten (pseudonymisering) innebærer at det normalt vil være et individuelt løpenummer eller lignende (et pseudonym) som erstatter navn og personnummer. Det skal finnes en nøkkel for entydig kobling mellom pseudonymet og personidentifikasjonen, og det skal være mulig å tilbakeføre opplysningene til kilden, dvs f eks til journal, spørreskjema, eller til den enkelte deltager/pasient. Nøkkelen må forvaltes i henhold til det REK godkjenner for hvert enkelt prosjekt. Det bør utarbeides standarder for hvordan slik forvaltning kan skje. Hvordan, hvorfor og under hvilke betingelser tilbakeføring til kilden skal skje, må beskrives i søknaden til REK og godkjennes.»

Det vises blant annet til beskrivelsen utvalget gir i NOU 2005:1 side 242 og 243.

Definisjonen av avidentifiserte opplysninger etter helseregisterloven § 2 nr. 1 er:

«...helseopplysninger der navn, fødselsnummer og andre personentydige kjennetegn er fjernet, slik at opplysningene ikke lenger kan knyttes tilbake til en enkeltperson, og hvor identitet bare kan tilbakeføres ved sammenstilling med de samme opplysningene som tidligere ble fjernet.»

Merknadene til helseregisterloven presiserer at for avidentifiserte opplysninger er personidentifikasjon fjernet og erstattet med et pseudonym eller en koblingsnøkkel. Nøkkelen oppbevares atskilt fra opplysningene for å sikre at enkeltpersoner skal kunne identifiseres. Ved utlevering av avidentifiserte helseopplysninger vil opplysningene fremstå som anonyme for mot­takeren, da mottakeren ikke har tilgang til nøkkel eller pseudonymet. Departementet mener denne forståelsen i stor grad tilsvarer det meningsinnholdet som utvalget legger til grunn i sin beskrivelse av skjulte helseopplysninger, jf. omtalen ovenfor.

Oppbevaring av koblingsnøkkelen og hvordan den for eksempel kan eller skal benyttes for å ­supplere forskningsfilen med ytterligere opplysninger, vil være vurderingsmomenter for REK i forbindelse med godkjenning av forskningsprosjekter.

En hovedforskjell mellom avidentifiserte og pseudonyme opplysninger etter helseregister­loven, er pseudonymiseringsprinsippene som stammer fra NOU 1993:33 og som er gjentatt og presisert gjennom rundskriv I-1063B og I-8/2005 fra Helsedepartementet. Pseudonymiseringsprinsippene innebærer særlig krav til at koblingsnøkkel skal håndteres av en tiltrodd tredjepart, at ingen annen enn pasienten skal ha tilgang til både pseudonym, identitet og helseopplysninger samtidig, og at prosessen skal være irreversibel. Når utvalget foreslår at det for skjulte opplysninger «skal være mulig å tilbakeføre opplysningene til kilden, dvs f. eks til journal, spørreskjema, eller til den enkelte deltager/pasient», er dette i tråd med dagens definisjon av avidentifiserte opplysninger, som tillater at identitet kan tilbakeføres. For pseudonyme opplysninger kan slik tilbakeføring i all hovedsak ikke skje.

De fleste forskningsprosjekter behandler i dag helseopplysninger i avidentifisert form, og det fremkommer blant annet gjennom høringsrunden at begrepene avidentifiserte og personidentifiserbare opplysninger er innarbeidet i medisinske og helsefaglige forskningsmiljøer. Begrepene benyttes også på tilgrensende samfunnsområder og er innarbeidet i øvrig regelverket. Begrepet pseudonyme helseopplysninger har siden helseregisterlovens ikrafttreden i 2002 imidlertid skapt en del usikkerhet. Siden utvalget avga sin utredning, har det blitt foretatt en presisering av innholdet i begrepet pseudonyme opplysninger gjennom rundskriv I-8/2005 Pseudonyme helseregistre. Departementet mener derfor at dagens begreper heller bør presiseres fremfor å innføre et nytt sett begreper. Dette får støtte fra de fleste hørings­instansene, både fra forskningsmiljøer og fra NEM, Datatilsynet og NSD.

Utvalgets forslag til lovtekst, særlig i kapitlet om behandling av helseopplysninger, bygger i stor grad på skillet mellom skjulte og åpne helseopplysninger. Siden departementet viderefører dagens begreper, forutsetter dette at bestemmelsene omarbeides. Departementets lovforslag bygger imidlertid på de samme prinsippene og avveiningene mellom personvern og tilgang til opplysninger som utvalget har lagt til grunn i sitt utkast til lovtekst.

På denne bakgrunn foreslår departementet at helseforskningsloven benytter de samme begrepene som følger av dagens regelverk i helseregisterloven og personopplysningsloven.

Det vises til departementets lovutkast § 4.

16.4 Hovedregel om behandling av helseopplysninger – behandlingsgrunnlag, formålsbestemthet, relevans og nødvendighet

16.4.1 Gjeldende rett

Helseregisterloven § 5 gir uttrykk for det grunnleggende prinsippet om at all behandling av helseopplysninger må ha et behandlingsgrunnlag (rettslig grunnlag). Dette følger også av personopplysningsloven og personverndirektivet 1 . Kravet om behandlingsgrunnlag gjelder all behandling av helseopplysninger, det vil si all formålsbestemt bruk av helseopplysninger, som for eksempel innsamling, registrering, sammenstilling, lagring og utlevering, eller en kombinasjon av slike bruksmåter, jf. helseregisterloven § 2 nr. 5. Kravet gjelder altså blant annet både for etablering av permanente eller tilnærmet permanente helseregistre, for behandling av opplysninger i pasientjournal og pasientadministrative systemer, og for behandling av helseopplysninger i et forsk­ningsprosjekt.

Behandlingsgrunnlag forutsetter hjemmel i lov eller i medhold av lov. I praksis er behandlingsgrunnlagene for de fleste forskningsprosjekter konsesjon fra Datatilsynet (helseregisterloven § 5 jf. personopplysningsloven § 33, jf. §§ 8 bokstav d og 9 første ledd bokstav h). Det kan gis unntak for konsesjon, for eksempel der et forsk­ningsprosjekt er tilrådd av personvernombud (personopplysningsforskriften § 7-27). Et annet behandlingsgrunnlag er hjemmel i helseregisterloven og forskriftene etter §§ 7 og 8 (for eksempel Kreftregisterforskriften og Medisinsk fødsels­registerforskriften).

Det følger av helseregisterloven § 11 at enhver behandling av helseopplysninger skal ha et uttrykkelig angitt formål som er saklig begrunnet i den databehandlingsansvarliges virksomhet. Man kan videre kun behandle opplysninger som er relevante og nødvendige for å nå formålet med behandlingen. Det er særskilt nevnt at direkte personidentifiserbare opplysninger kun skal benyttes dersom det er nødvendig for å fremme formålet.

Etter helsepersonelloven § 29 kan departementet bestemme at opplysninger kan eller skal gis til bruk i forskning uten hinder av helsepersonells taushetsplikt. Denne myndigheten er delegert til Sosial- og helsedirektoratet.

16.4.2 Forslaget i NOU 2005:1

Utvalget foreslår en hovedregel for bruk av helseopplysninger i forskning som sier at helseopplysninger brukt i forskning som hovedregel skal ha skjult identitet eller anonymiseres. Videre foreslås det at REK kan tillate bruk av åpne helseopplysninger dersom det er nødvendig og forsvarlig. Nødvendigheten av slik bruk skal begrunnes særskilt i søknaden.

Utvalget har videre foreslått en bestemmelse som sier at dersom det benyttes åpne helseopplysninger i et forskningsprosjekt, så skal identiteten gjøres skjult eller anonymiseres senest 30 dager etter at prosjektet er gjennomført.

16.4.3 Høringsinstansenes syn

Kreftregisteret støtter bestemmelsen om at REK kan tillate bruk av åpne helseopplysninger når det er nødvendig og forsvarlig. Det påpekes at åpne helseopplysninger ofte er en forutsetning når opplysninger fra ulike registre skal kobles sammen.

Datatilsynet nevner at forholdet til informasjonssikkerhetsreglene i personopplysningsforskriften kapittel 2 ikke er nevnt. Videre påpeker Datatilsynet at reglene er viktige for å sikre et ­tilfredsstillende personvern ved behandling av ­helseopplysninger.

Universitetet i Tromsø stiller spørsmål ved den praktiske konsekvensen av forslaget om at all behandling av helseopplysninger som ikke krever identitet skal være skjult.

16.4.4 Departementets vurderinger og forslag

Departementet foreslår at helseforskningsloven kapittel 7 fastslår en hovedregel for behandling av helseopplysninger i medisinsk og helsefaglig ­forskning:

«Behandling av helseopplysninger i medisinsk og helsefaglig forskning skal ha uttrykkelig angitt formål. Helseopplysningene skal være relevante og nødvendige for å nå forskningsprosjektets formål. Graden av personidentifikasjon for helseopplysninger skal ikke være større enn nødvendig for å nå formålene.»

Departementet mener helseforskningsloven klart må fastslå det generelle prinsippet om at den som behandler helseopplysninger ikke skal ha flere opplysninger enn det som er relevant og nødvendig for å nå formålet med behandlingen. Prinsippet følger blant annet av helseregisterloven, personopplysningsloven og personverndirektivet. Det er spesielt presisert at graden av personidentifikasjon ikke skal være større enn nødvendig for å nå formålet. Denne vurderingen er basert på det samme grunnprinsipp som utvalgets forslag til hovedregel om at opplysninger til bruk i forsk­ning skal ha skjult identitet. Ved å benytte formuleringen «relevant og nødvendig» fremfor å fastslå i hvilken form opplysningene skal benyttes ­(avidentifiserte/skjulte), henspeiles det i loven imidlertid på at det ikke bare er graden av person­identifikasjon som er vurderingstema for hvilke opplysninger som skal behandles, men også hvilke øvrige opplysninger som skal inngå i forsk­ningsprosjektet.

At formålet skal være uttrykkelig angitt innebærer at det bør formuleres i forskningsprotokollen. Det vil bero på prosjektet eller registerets karakter hvor konkret formålsangivelsen skal være. For større prosjekter som skal benyttes som utgangspunkt for flere andre prosjekter, kan formålet være mer overordnet enn for mindre forskningsprosjekter som har kort tidsforløp. Formålsangivelsen skal ligge til grunn i forskningsprotokollen, informasjonsmaterialet og som forutsetninger for eventuelle samtykker fra deltakere. Det vises for øvrig til krav til formålsbestemthet i helseregisterloven og personopplysningsloven.

At helseopplysninger skal være relevante og nødvendige for å nå forskningsprosjektets formål innebærer at det skal gjøres en vurdering av hvilke opplysninger som er nødvendige for å ­gjennomføre det aktuelle prosjektet. Denne ­vurderingen skal fremkomme og begrunnes i forskningsprotokollen, og skal være gjenstand for vurdering av REK.

Helseopplysninger er opplysninger som kan knyttes til enkeltindivid i motsetning til anonyme opplysninger. Helseopplysninger kan være av­identifiserte, pseudonyme eller personidenti­fiserbare. Medisinsk og helsefaglig forskning vil i ulik grad forutsette eller kreve personidentifikasjon. Enkelte prosjekter vil forutsette at forskeren kjenner forskningsdeltakerens identitet. Andre prosjekter kan gjennomføres med pseudonyme eller avidentifiserte opplysninger. At et forsk­ningsprosjekt bare skal behandle opplysninger som er relevante og nødvendige innebærer også at det ikke skal gis større tilgang til personidentifikasjon enn nødvendig. Det foreslås imidlertid at dette også kommer klart fram i lovteksten.

Departementet mener det bør fremkomme klart av loven at all behandling av helseopplys­ninger i medisinsk og helsefaglig forskning skal ha et behandlingsgrunnlag, det vil si at det må finnes en hjemmel for å behandle opplyningene. Godkjenning fra REK vil være det nødvendige og tilstrekkelige behandlingsgrunnlaget for helseopplysninger i medisinsk og helsefaglig forsk­ning. Helseregistre skal fortsatt ha behandlingsgrunnlag i helseregisterloven, likeledes registre som ikke primært skal benyttes i medisinsk og helsefaglig forskning. Se nærmere om dette i punkt 9.3.3.1. Medisinske og helsefaglige forsk­ningsprosjekter som benytter opplysninger fra helseregistre eller andre registre, for eksempel SSBs registre over sosioøkonomiske forhold, ­krever behandlingsgrunnlag i helseforsknings­loven dersom prosjektet ikke har hjemmelsgrunnlag i annet lovverk.

I punkt 15.4.4 foreslo departementet å lovfeste at humant biologisk materiale eller analyseresultater fra forskningsbiobanker ikke kan utleveres til forsikringsselskaper, arbeidsgiver, påtalemyndighet eller domstol, og at materialets giver heller ikke har anledning til å samtykke til at forsikringsselskaper, arbeidsgiver, påtalemyndighet eller domstol skal gis tilgang til materiale fra biobanken, jf. § 27. Etter departementets syn bør det være et tilsvarende forbud for helseopplysninger. Forbudet skal sikre at helseopplysninger som er innsamlet til forskningsformål ikke utleveres til bruk av forsikringsselskaper, arbeidsgiver, påtalemyndighet eller domstol til ugunst for forskningsdeltakeren. Forslaget vil ikke hindre at forskningsdeltakeren selv utleverer tilsvarende opplysninger som han eller hun selv er i besittelse av. Bakgrunnen for forbudet er blant annet at man ønsker at det faktum at opplysninger om forskningsdeltakerne er samlet ett sted i forbindelse med et forskningsprosjekt, i minst mulig grad skal utgjøre en trussel mot personvernet til forskningsdeltakerne. At forbudet gjelder selv om den registrete samtykker er blant annet begrunnet i at man vil hindre at forsikringsselskaper stiller som vilkår for forsikring at man samtykker til at selskapet skal få opplysninger som er registrert om forsikringstakeren. Forbudet finnes i tilnærmet lik form i forskriftene til de sentrale helseregistrene hjemlet i helseregisterloven § 8. Etter departementets syn vil et slikt forbud sikre befolkningens tillit til forskningen.

Det kan tenkes at man i helt spesielle, unntaksvise situasjoner hvor vesentlige samfunnsinteresser står på spill, vil si at hensynet til den enkelte må vike, og at helseopplysninger likevel må kunne tillates utlevert. Det kan tenkes situasjoner der utlevering anses nødvendig for å forhindre alvorlig skade på liv, helse eller eiendom. Dette kan for eksempel gjelde situasjoner som oppleves som en trussel mot demokratiet, for eksempel dersom man er blitt kjent med at det er planlagt et omfattende terroristangrep for å ramme styresmaktene i landet. I slike tilfeller kan det anses å være berettiget å åpne for at det utleveres humant biologisk materiale dersom dette må anses formålstjenelig for å identifisere eller lokalisere gjerningsmannen.

Departementet foreslår derfor at Kongen i forskrift kan gi regler om at det kan gjøres unntak fra forbudet om å levere ut helseopplysninger til påtalemyndighet eller domstol. Det forutsettes at et eventuelt unntak må være ekstremt snevert og brukes kun i helt sjeldne tilfeller. Det bør være departementet som fatter en slik beslutning etter en helhetsvurdering av situasjonen.

Det vises til lovutkastet §§ 32 og 33.

16.5 Behandling, utlevering og sammenstilling av helseopplysninger

16.5.1 Gjeldende rett

Helseregisterloven §§ 12 og 14 regulerer henholdsvis sammenstilling og utlevering av helseopplysninger. Ordet «sammenstilles» innbefatter også kobling og andre ord som beskriver slike handlinger.

Helseregisterloven § 12 fastsetter for det første at behandlingsrettede helseregistre kan sammenstilles. Dette vil for eksempel innbefatte kobling av to eller flere pasientjournaler om samme pasient ved forskjellige helseinstitusjoner. For det andre kan helseregistre sammenstilles der dette følger av forskrift etter helseregisterloven §§ 7 eller 8. Utover disse to tilfellene kan helseopplysninger bare sammenstilles der dette er tillatt etter personopplysningsloven §§ 9 og 33.

Utlevering av helseopplysninger til instanser som har rett eller plikt til opplysninger etter særlov er hjemlet i § 14 andre ledd.

16.5.2 Forslaget i NOU 2005:1

I utvalgets forslag til § 7-4 foreslås det bestemmelser om utlevering av helseopplysninger. I følge forslaget skal all utlevering av helseopplysninger være begrunnet i formålet med prosjektet slik det er beskrevet i forskningsprotokollen. Det er tilstrekkelig at utleveringen skjer til en person eller virksomhet som skal utføre oppgaver i samsvar med protokollen. Skjulte helseopplysninger kan utleveres til behandlingsansvarlige for lokale, regionale og sentrale helseregistre, også når dette ikke er del av protokollen. Forutsetningen er at opplysningene forblir i skjult form hos de databehandlingsansvarlige som det overføres til. Utlevering kan videre skje ved langtidslagring etter § 7-8.

Utvalget foreslår en bestemmelse i lovut­kastets § 7-6 om sammenstilling av helseopplysninger. Utvalgets forslag til regulering skiller mellom åpne og skjulte helseopplysninger. Helseopplysninger med skjult identitet kan sammenstilles uten samtykke i henhold til protokollen. Sammenstilling som går ut over det som er beskrevet i forskningsprotokollen, er ikke tillatt uten godkjenning fra REK, jf. utvalgets forslag til § 3-2. Sammenstilling av åpne helseopplysninger kan skje under forutsetning av at det er innhentet samtykke til sammenstillingen. Videre pålegger bestemmelsen REK å gjøre selvstendige etiske vurderinger av en eventuell sammenstilling.

16.5.3 Høringsinstansenes syn

Den nasjonale forskningsetiske komité for medisin (NEM) uttaler:

«Kravet om at kobling uten samtykke bare kan skje når materialet har skjult identitet vil gjøre mye epidemiologisk forskning umulig. Som vi tidligere har påpekt, anser vi enklere former for avidentifisering for fullt forsvarlig, og svært mange prosjekter er basert på denne typen håndtering av data. […]

REK må gis adgang til å tillate kobling der dette er betryggende ut fra personvernhensyn uten at det foreligger samtykke til slik kobling. At bestemmelsen i lovutkastet hjemler det ­motsatte, nemlig at REK kan nekte kobling selv der det foreligger samtykke synes unødvendig: REK vil ikke tilrå prosjekter der kobling skjer på et uansvarlig eller utilrådelig grunnlag.»

Datatilsynet mener at dersom man følger for­slagets hovedregel og benytter helseopplysninger med skjult identitet, gis man en vid rett til både å utlevere og sammenstille helseopplysninger uten at det stilles noen krav til det konkrete forskningsprosjekt med unntak av at utlevering og sammenstillingen skal være beskrevet i forskningsprotokollen. Videre skriver Datatilsynet:

«Samtidig er lovens formålsparagraf lite egnet for presiseringsformål, med de følger at så fremt fremgangsmåten er beskrevet i forsk­ningsprotokollen og det ikke er uforsvarlig, og dermed i strid med forslagets § 2-1, kan enhver form for utlevering og sammen­stilling finne sted uten at det er foretatt noen vurdering av samfunnets interesse i denne forskningen.»

Universitet i Tromsø stiller spørsmål ved om utvalgets forslag til regulering av sammenstilling mellom ulike kilder innebærer at REK gis myndighet til å nekte det som samtykkekompetente personer har samtykket til.

Sosial- og helsedirektoratet skriver:

«Slik vi forstår det, vil det kun være i medhold av et uttrykkelig samtykke fra den enkelte forsk­ningsdeltaker at det vil være anledning til å overføre eller koble opplysninger i medhold av §§ 7-4 og 7-6. Dersom man forstår § 7-4 og § 7-6 på denne måten, vil man i forskningsprosjekter som gjennomføres ved unntak fra samtykkekravet i medhold av § 4-10, ikke kunne ­overføre eller kople opplysninger i medhold av §§ 7-4 og 7-6. Etter vår vurdering betyr dette at kapittel 7 går foran kapittel 4 i disse tilfellene. Det er uheldig at det ikke fremgår av bestemmelsene i kapittel 7 når bestemmelsene i dette kapittelet skal gå foran kapittel 4. Dette bør klargjøres.»

16.5.4 Departementets vurderinger og forslag

Sammenstillinger og utleveringer er ofte sentrale behandlingsmåter for opplysninger i medisinsk og helsefaglig forskning. Både for sammenstillinger som vurderes i forbindelse med det opprinnelige prosjektet og i forbindelse med etterfølgende prosjekter må forholdet til pasientens samtykke vurderes, jf. lovforslagets kapittel 4.

Departementet forstår utvalgets forslag dit hen at sammenstilling av helseopplysninger ikke vil være mulig dersom ikke forskningsdeltakeren har samtykket til dette. Dette vil hindre sammenstilling der det er gitt dispensasjon fra taushetsplikt i stedet for samtykke. Det vil også, slik Sosial- og helsedirektoratet påpeker, hindre forsk­ning der unntaket for samtykke ved forskning på opplysninger innsamlet i helsetjenesten trer inn. Departementet har utformet forslaget til § 35 slik at også dispensasjon fra taushetsplikten kan gi grunnlag for sammenstilling.

Utvalget har foreslått utlevering uten behandlingsgrunnlag for helseopplysninger med skjult identitet. Departementet mener at det ikke alltid vil være personvernmessig tilrådelig å utlevere for eksempel pseudonyme opplysninger, uten forutgående behandling hos REK. Av den grunn har departementet ikke fulgt opp utvalgets forslag på dette punktet.

Det vises til departementets lovutkast § 34.

16.6 Bruk av helseopplysninger innsamlet i helsetjenesten til forskning uten samtykke (dispensasjon fra taushetsplikten)

16.6.1 Gjeldende rett

Etter helsepersonelloven § 29 kan departementet bestemme at opplysninger kan eller skal gis til bruk i forskning uten hinder av helsepersonells taushetsplikt. Søknad om fritak fra taushetsplikt er nødvendig for at den som har taushetsplikt lovlig og uhindret av vedkommendes taushetsplikt skal kunne gi forskeren tilgang på taushetsbelagte opplysninger. Vurderingen av dispensasjon fra taushetsplikten er en helhetsvurdering der hensynet til samfunnets nytteverdi av forsk­ningen, ulempen for den enkelte og hvor vanskelig det blir å innhente samtykke veies opp mot hverandre. Det er i dag Sosial- og helsedirektoratet som etter delegasjon fra departementet vurderer disse søknadene.

Etter forvaltningsloven § 13 e følger det at departementet kan bestemme at et forvaltningsorgan kan eller skal gi opplysninger til bruk for forskning, og at dette skal skje uten hinder av organets taushetsplikt etter § 13. Dette kan bare gjøres når det finnes rimelig og det ikke med­fører uforholdsmessig ulempe for andre interesser. Til et slikt vedtak kan det knyttes vilkår. Disse kan blant annet gi bestemmelser om hvem som skal ha ansvar for opplysningene og hvem som skal ha adgang til dem, om oppbevaring og tilbakelevering av utlånt materiale, om tilintet­gjøring av avskrifter, om hvorvidt forskerne skal ha adgang til å henvende seg til eller innhente nærmere opplysninger om dem det er gitt opplysninger om, og om bruken av opplysningene for øvrig.

Av forskrift 12. desember 2006 nr. 1456 til forvaltningsloven fremgår det at myndigheten til å gi forskerinnsyn ikke kan delegeres fra departementet. Helse- og omsorgsdepartementet gis likevel myndighet til å delegere til Sosial- og helsedirektoratet for så vidt gjelder opplysninger i saker på Sosial- og helsedirektoratets ansvarsområde, jf. § 8 c. Før det blir truffet vedtak om å gi opplysninger undergitt taushetsplikt til bruk for forskning eller å avslå begjæring om å få slike opplysninger, skal saken forelegges for Rådet for taushetsplikt og forskning, jf. § 9. Dersom Sosial- og helsedirektoratet finner det klart at søknadene bør innvilges eller avslås, behøver saken ikke forelegges for Rådet. Ved avgjørelsen av om en sak ikke skal forelegges for Rådet, skal det særlig legges vekt på om de opplysninger det søkes om tilgang til, må anses som følsomme. Ellers bør det legges vekt på om den materialet skal stilles til rådighet for, har betryggende faglig kompetanse eller er undergitt forsvarlig faglig veiledning.

Datatilsynet kan gi konsesjon for forskning på helseopplysninger som er samlet inn i helsetjenesten i tilfeller der det ikke foreligger samtykke fra den opplysningene gjelder, jf. helseregisterloven § 5 og personopplysningsloven § 9 første ledd bokstav h. Det følger av personopplysningsloven § 9 første ledd bokstav h at sensitive personopplysninger, som helseopplysninger, bare kan behandles dersom behandlingen oppfyller et av vilkårene i § 8 og behandlingen er nødvendig for historiske, statistiske eller vitenskapelige formål, og samfunnets interesse i at behandlingen finner sted klart overstiger ulempene den kan medføre for den enkelte.

Dersom vedkommende som ønsker å benytte opplysningene til forskning, ikke allerede har tilgang til de sensitive opplysningene, må det i tillegg søkes om dispensasjon fra taushetsplikten etter de alminnelige reglene i forvaltningsloven og helsepersonelloven.

16.6.2 Forslaget i NOU 2005:1

Utvalget foreslår en samlet bestemmelse der det fremgår at humant biologisk materiale og helseopplysninger som allerede er samlet inn av helsetjenesten som ledd i diagnostisering og behandling av sykdom, skal kunne brukes til forskning uten at det innhentes samtykke fra den materialet eller helseopplysningene stammer fra, jf. omtalen i punkt 15.5. og punkt 10.8.4.1. Vilkårene er at helseopplysningene har skjult identitet (se mer om dette begrepet i punkt 16.3.2 og 16.3.4) og at den antatte samlede helsegevinst klart må antas å overstige de ulemper forskningen kan medføre for den enkelte.

Et mindretall i utvalget mener det bør være reservasjonsrett for forskning på helseopplys­ninger, slik utvalgets flertall foreslo for humant biologisk materiale, og har fremsatt et alternativt forslag til lovtekst på dette punktet.

Utvalget uttaler seg ikke om bestemmelsen om dispensasjon fra taushetsplikten.

16.6.3 Høringsinstansenes syn

Ettersom utvalget foreslo en samlet bestemmelse for helseopplysninger og biologisk materiale, har de fleste høringsuttalelsene uttalt seg om dette forslaget samlet. Det vises derfor også til omtalen av høringsinstansenes syn når det gjelder det tilsvarende forslaget om forskning på biologisk materiale, jf. punkt 15.5.3.

Den norske lægeforening bemerker i sin høringsuttalelse at hjemlene for forskning uten samtykke i personopplysningslovens § 9 første ledd bokstav h jf. § 8, samt i helsepersonellovens § 29 og forvaltnings­lovens § 13 d, ikke er videreført i forslaget.

Norsk samfunnsvitenskapelig datatjeneste (NSD) er positive til forslaget, men mener at forslaget til lovtekst bør sammenfalle med personopplysningslovens § 9 første ledd bokstav h, fordi forslaget slik det er utformet vil medføre en innskjerping i forhold til personopplysningslovens § 9. Med helseforskningslovens brede virkefelt vil en god del prosjekter som involverer bruk av helse­opplysninger, men som ikke direkte bidrar til økt helsegevinst (jf. forslagets § 4-9 punkt a), ikke kunne gjennomføres med hjemmel i den foreslåtte § 4-9. NSD uttaler videre:

«NSD kan ikke se at det fremmer forskningen eller gagner personvernet å lovfeste en reservasjonsrett mot forskning på biologisk materiale samlet inn i helsevesenet. Dette bør underlegges skjønn, og vurderes opp mot samfunnsnytte og etter nødvendighetskriteriet fra prosjekt til prosjekt. Dette vil være viktig, blant annet med tanke på å kunne gjennomføre studier på hele, uselekterte populasjoner.»

Sosial- og helsedirektoratet påpeker at forslaget innebærer et unntak fra helsepersonellovens taushetsplikt, jf. § 21, jf. § 23 nr. 5. Direktoratet støtter forslaget, forutsatt at REK har godkjent prosjektet og vurdert om vilkårene er oppfylt før helsepersonellet kan utlevere de aktuelle opplysningene. Direktoratet er ikke enig i at reservasjonsretten kun skal gjelde for forskning på humant biologisk materiale. De viser til at den enkelte selv råder over opplysninger om seg selv, og mener at pasienter må ha anledning til å reservere seg mot utlevering av taushetsbelagte helseopplysninger til bruk i forskning

16.6.4 Departementets vurderinger og forslag

Hovedregelen for forskning er at det skal innhentes samtykke fra den det gjelder, men dette kan være vanskelig i visse tilfeller. Dette kan være tilfelle ved store forskningsprosjekter der det blir svært ressurskrevende å innhente samtykke fra alle deltakerne. Videre vil en slik adgang være viktig for historisk materiale, hvor det ofte vil være praktisk vanskelig eller umulig å innhente nytt samtykke dersom opplysningene skal tas i bruk til forskning. Giverne kan være vanskelige å kontakte fordi det har gått mange år siden opplysningene ble gitt, eller de kan være døde. Der opplysningene gjelder sykdom, kan det i visse tilfeller også synes uheldig å «rippe opp» i gamle minner om sykdom og sykehusbesøk ved å henvende seg til giverne av materiale. Det vises for øvrig til departementets vurderinger i omtalen av særmerknadene til § 15 i kapittel 21.

Etter gjeldende rett må det i slike situasjoner foreligge konsesjon fra Datatilsynet og være gitt dispensasjon fra taushetsplikten av Sosial- og helsedirektoratet for at en skal kunne forske på helseopplysninger en ikke allerede har tilgang til. Departementet er opptatt av at helseforsknings­loven må sikre muligheten til å drive forskning samtidig som den også skal ivareta den enkeltes personvern. Det er viktig at den nye helse­forskningsloven, som har til formål å fremme, forbedre og forenkle medisinsk og helsefaglig forsk­ning, ikke innskrenker de muligheter som allerede finnes i dagens lovverk.

Imidlertid kan dagens ordning synes noe tung­vint. Etter departementets vurdering bør bestemmelsene samles. Det foreslås at det i helseforsk­ningsloven gis hjemmel til både å gi dispensasjon fra taushetsplikt i likhet med den adgangen som gis i helsepersonelloven § 29, og å gi tillatelse for å kunne forske på opplysninger som er innsamlet i helsetjenesten.

Vurderingen av dispensasjon fra helsepersonells taushetsplikt er en helhetsvurdering der en rekke hensyn må veies opp mot hverandre, så som etiske hensyn, samfunnets nytteverdi av forsk­ningen, ulempen for den enkelte og hvor vanskelig det blir å innhente samtykke. Dette er vurderinger som REK langt på vei gjør i dag, og som departementet mener REK vil være i stand til å foreta på en god måte også i fremtiden. I hvilke tilfeller det skal tillates forskning på opplysninger uten samtykke fra den det gjelder, er et sentralt forskningsetisk spørsmål som REK med sin tverrfaglighet etter departementets syn er godt egnet til å vurdere.

Det foreslås i lovforslaget at REK i visse tilfeller skal kunne tillate forskning på biologisk materiale og helseopplysninger uten samtykke fra den materialet og opplysningene stammer fra. Dette gjelder for eksempel vurderingen av om det kan tillates ny eller endret bruk av tidligere innsamlet materiale uten at det innhentes nytt samtykke. Et annet eksempel er om det uten samtykke skal gis adgang til å tillate forskning på biologisk materiale som har blitt innsamlet i helsetjenesten som et ledd i behandling eller diagnostisering.

Vurderingen av om tillatelse til forskning uten samtykke skal gis, og vurderingen om dispensasjon fra taushetsplikt for den som sitter på opplysningene skal gis, vil typisk ha sammenfallende vurderingstema. Det er derfor etter departementets syn hensiktsmessig at det også er REK som får kompetanse til å vurdere om dispensasjon fra taushetsplikten skal gis. Dette vil videre innebære en betydelig forenkling for medisinske og helsefaglige forskere. De får kun én instans å forholde seg til, og saksbehandlingstiden blir kortere ved at det bare er én instans som foretar vurderingene og beslutningene.

Departementet foreslår derfor at adgangen til å gi dispensasjon fra taushetsplikt legges til REK etter helseforskningsloven. Etter departementets syn vil vurderingen av om det kan gis dispensasjon fra taushetsplikten være en del av vurderingen av om det skal gis tillatelse til å bruke opplysninger innsamlet i helsetjenesten uten at den som ga fra seg opplysningene blir bedt om å samtykke til slik forskning. Det foreslås derfor en samlet bestemmelse som hjemler både tillatelse til å benytte opplysninger uten samtykke, og som gir dispensasjon fra taushetsplikten for forskeren som sitter på opplysningene.

Dersom noen ønsker taushetsbelagte opplysninger til bruk i medisinsk eller helsefaglig forsk­ning, og samtykke fra den opplysningene gjelder ikke kan innhentes, er det dispensasjonshjemmelen i helseforskningsloven som må benyttes. Dersom de taushetsbelagte opplysningene skal benyttes til en annen type forskning enn medisinsk og helsefaglig, er det helsepersonellovens bestemmelser som kommer til anvendelse. Av hensyn til et helhetlig system, foreslår departementet å overføre til REK den kompetansen Sosial- og helsedirektoratet har til å gi dispensasjon fra taushetsplikten etter helsepersonelloven § 29. Søknadene etter helsepersonelloven vil som nevnt gjelde andre type forskning enn medisinsk og helsefaglig forskning. Her vil de vurderingene REK foretar ved vurderingen etter helseforsknings­loven ha overføringsverdi, men det vil kunne komme opp spørsmål som er særegne for den typen forskning det gjelder, og som REK ikke har spesiell kjennskap til. REK bør derfor rådføre seg med den aktuelle nasjonale komiteen for forskningsetikk ved behov.

Når det gjelder forskning som er omfattet av forvaltningsloven § 13 e jf. forvaltningslovforskriften § 8 bokstav c, foreslår ikke departementet noen endringer i denne omgang. Dette innebærer at dersom forskning på visse opplysninger krever dispensasjon fra forvaltningslovens taushetsplikt, vil det være Sosial- og helsedirektoratet som vurderer om denne skal gis. Rådet for taushetsplikt og forskning må forelegges disse sakene i de tilfellene som er beskrevet i forvaltningslovforskriften § 9. Det vil imidlertid være naturlig å vurdere hvorvidt ikke REK bør få overført kompetansen til å dispensere fra taushetsplikten på helseområdet også etter forvaltningsloven med forskrifter.

Departementet deler Sosial- og helsedirektoratets oppfatning om at det bør være visse vilkår nedfelt i loven for når REK kan gi dispensasjon fra taushetsplikten. Det bør være de samme hensyn som gjør seg gjeldende her, som når det gjelder vurderingen av om det kan tillates ny eller endret bruk av tidligere innsamlet materiale uten innhenting av nytt samtykke, og som når det gjelder adgangen til å tillate forskning på biologisk materiale som er innsamlet i helsetjenesten som et ledd i behandling eller diagnostisering. Departementet foreslår derfor at det bare kan gis dispensasjon fra taushetsplikten for forskningsformål dersom forskningen er nødvendig for å utføre en oppgave av allmenn interesse og samfunnets interesse i at forskningen finner sted klart overstiger ulempene det kan medføre for den enkelte.

Departementet presiserer at hovedregelen er at det skal innhentes samtykke. REK må ved sin vurdering av om dispensasjon fra taushetsplikten skal gis, foreta en konkret helhetsvurdering der blant annet opplysningenes sensitivitet, form og hvordan og hvor lenge de skal oppbevares må tillegges vekt. Det understrekes at det må foreligge noe mer enn rene hensiktsmessighetsbetrakt­ninger for å fravike hovedregelen om innhenting av samtykke. Den praktiske gjennomføringen av å innhente fornyet samtykke, og faren for å miste verdifullt forskningsgrunnlag dersom mange faller fra, kan imidlertid vektlegges som et av flere hensyn i den konkrete vurderingen av om samfunnets interesse i at forskningen finner sted klart overstiger ulempene det kan medføre for den enkelte. Dersom man har konkrete holdepunkter for å tro at forskningsdeltakeren ville ha stilt seg negativ til den nye eller endrede bruken av materialet eller opplysningene, vil dette være et moment som taler for at ulempene for deltakeren ved at forskningen utføres, vil være store. Dette kan for eksempel være der deltakeren har blitt spurt om å avgi et bredt samtykke som ville omfattet den nye eller endrede bruken det søkes om, og der deltakeren har avslått å gi slikt samtykke.

Personvernhensyn kan ivaretas ved at det oppstilles strenge vilkår for når forskning kan finne sted uten samtykke. REK må bestemme i hvilken form helseopplysningene skal utleveres, som for eksempel avidentifisert eller personidentifiserbart. Det må aldri være større grad av personidentifikasjon enn det som er nødvendig for forsk­ningen. Få forskere vil ha behov for å vite navn eller fødselsnummer på deltakerne. Dette må i så fall begrunnes særskilt og godkjennes av REK. REK må foreta en konkret vurdering i hvert enkelt tilfelle. REK må videre ha adgang til å sette vilkår for bruken av opplysningene og materialet. Et vilkår kan for eksempel være at forskningsdeltakerne får informasjon om at det pågår forskning på opplysninger om dem, slik at de kan utøve sin innsynsrett. Det understrekes at forskerne vil ha taushetsplikt om opplysninger de mottar i forbindelse med forsk­ningsprosjektet.

Det foreslås ikke en tilsvarende reservasjonsrett for forskning på helseopplysninger som er samlet inn i helsetjenesten, som det gjøres for humant biologisk materiale, jf. punkt 15.5. En slik reservasjonsgang følger heller ikke av gjeldende rett i helseregisterloven § 5, jf. personopplysningsloven § 9 første ledd bokstav h. Disse bestemmelsene gjelder for forskning på helseopplysninger som ikke regnes som medisinsk og helsefaglig forskning. Hensynet til et harmonisert regelverk for all forsk­ning på helseopplysninger, tilsier at en reservasjonsrett ikke bør gis for forskning som faller inn under loven her.

Det vises til departementets lovutkast § 35.

16.7 Retting, supplering, oppdatering og sletting av helseopplysninger

16.7.1 Gjeldende rett

Helseregisterloven §§ 26 og 28 gir bestemmelser om henholdsvis retting av mangelfulle opplys­ninger og sletting eller sperring av helseopplysninger som føles belastende for den registrerte.

Helseregisterloven § 22 viser for det første til bestemmelsene i helsepersonelloven og pasientrettighetsloven om innsyn i journal. Videre gir bestemmelsen rett for den registrerte i register til å få generell informasjon om registeret og spesiell informasjon om hva som er registrert på ham eller henne. Helseregisterloven § 25 regulerer unntak fra retten til informasjon og innsyn, og bygger blant annet på unntakene fra rett til innsyn i journal i pasientrettighetsloven § 5-1.

Helseregisterloven § 26 regulerer den databehandlingsansvarliges plikt til å rette mangelfulle helseopplysninger i registeret om den registrerte. Helseregisterloven § 28 regulerer den registrertes rett til å kreve sletting eller sperring av helseopplysninger som føles belastende for den regi­strerte.

16.7.2 Forslaget i NOU 2005:1

Utvalget foreslår en bestemmelse om retting, supplering, oppdatering og sletting av helseopplysninger. Bestemmelsen må ses i sammenheng med forslaget om krav til internkontroll. Bestemmelsen etablerer konkrete minstekrav til ivaretakelse av opplysningskvalitet og gir anvisning på hvordan mangelfulle opplysninger skal håndteres. Det er prosjektlederen som avgjør krav om sletting, og avgjørelsen kan klages inn for REK.

16.7.3 Høringsinstansenes syn

Nasjonalt folkehelseinstitutt mener at bestemmelsen om retting og sletting i utvalgets forslag til § 7-7, som krever kontinuerlig oppdatering av helseopplysninger, ikke vil være mulig å etterfølge for store befolkningsundersøkelser. Folkehelseinstituttet foreslår at bestemmelsen omformuleres eller slettes.

16.7.4 Departementets vurderinger og forslag

Departementet deler ikke Nasjonalt folkehelseinstitutt sin oppfatning om at det vil være umulig å oppdatere feilaktige opplysninger i et forsk­ningsprosjekt. Det følger allerede av dagens regelverk, blant annet helseregisterloven § 26 første ledd, at databehandlingsansvarlig av eget tiltak skal rette mangelfulle opplysninger. Departementet foreslår derfor en bestemmelse hvor prosjektleder av eget tiltak skal rette uriktige opplysninger, oppdatere foreldede opplysninger og supplere ufullstendige opplysninger. Endringene skal gjøres på en slik måte at endringene kan spores. Fullstendig sletting av opplysningene kan bare skje der dette kreves av den opplysningene har virkning for og dette ikke får avgjørende innvirkning på forskningsresultatenes validitet eller representativitet. Krav om sletting skal avgjøres av prosjektleder.

Det vises til departementets lovutkast § 36.

16.8 Overføring av opplysninger til land utenfor EØS-området

16.8.1 Gjeldende rett

Personopplysningsloven §§ 29 og 30 regulerer overføring av personopplysninger til utlandet, både innenfor og utenfor EØs-området. Helseregisterloven har ingen tilsvarende bestemmelse. Personopplysningslovens regler gjelder derfor også ved overføring av helseopplysninger til utlandet, jf. helseregisterloven § 36.

Personopplysningsloven § 29 sier at personopplysninger bare kan overføres til stater som sikrer en forsvarlig behandling av opplysningene. Stater som har implementert personverndirektivet (95/46/EF) skal anses for å oppfylle kravet til forsvarlig behandling.

I vurderingen av om behandlingen sikres på forsvarlig måte, skal det blant annet legges vekt på opplysningenes art, den planlagte behandlingens formål og varighet samt de rettsregler, regler for god forretningsskikk og sikkerhetstiltak som gjelder i vedkommende stat. Det skal også legges vekt på om staten har tiltrådt Europarådets konvensjon 28. januar 1981 nr. 108 om personvern i forbindelse med elektronisk behandling av personopplysninger.

Personopplysningsloven § 30 setter vilkår for når overføring likevel kan tillates til stater som ikke sikrer en forsvarlig behandling av opplys­ningene.

16.8.2 Forslaget i NOU 2005:1

Dersom opplysningene skal overføres til land utenfor EØS-området, foreslår utvalget særlige vilkår. Overføring til land innen EØS kan skje på samme vilkår som innen Norge. Som tidligere nevnt skiller utvalgets forslag til regulering mellom åpne og skjulte helseopplysninger. Åpne helseopplysninger som inngår i et forskningsprosjekt som omfattes av helseforskningsloven, kan bare inn- eller utføres mellom Norge og et land utenfor EØS dersom den utenlandske virksomheten eller personen skriftlig har forsikret overfor forsk­ningsansvarlig at behandling av opplysningene vil skje innenfor de rammer som direktiv 95/46/EF om beskyttelse av fysiske personer i forbindelse med behandling av personopplysninger og om fri utveksling av slike opplysninger, etablerer. I tillegg må det som hovedregel foreligge samtykke fra den opplysningene gjelder. Dersom behandling av helseopplysninger kan skje uten samtykke, foreslår utvalget en reservasjonsrett for deltakeren.

Skjulte helseopplysninger kan overføres til land utenfor EØS dersom kopling til personidentifikasjoner ikke kan skje så lenge opplysningene befinner seg i vedkommende land. Utvalget mener at det er lite betenkelig å tillate slike opplysninger utvekslet med land utenfor EØS selv om de aktuelle personene ikke har gitt sitt samtykke eller fått anledning til å reservere seg, fordi virkelige identiteter vil være utilgjengelige så lenge tilbakeføring av opplysninger ikke kan skje i utlandet.

16.8.3 Høringsinstansenes syn

Kreftregisteret legger stor vekt på forskningssamarbeid med utlandet, og støtter utvalgets forslag på dette området.

Rikshospitalet-Radiumhospitalet HF skriver:

«Medisinen er i tiltagende grad internasjonal, og det er viktig for norske pasienter å delta i internasjonale studier. Det er derfor viktig å legge forholdene til rette for at materiale og pasientdata kan benyttes også i internasjonale studier uten at regelverket legger unødvendige begrensninger på slikt samarbeid.»

16.8.4 Departementets vurderinger og forslag

Departementet er opptatt av at det legges til rette for internasjonalt samarbeid når det gjelder forsk­ning. Departementet foreslår derfor å videreføre utvalgets forslag til bestemmelse om overføring av helseopplysninger mellom Norge og land utenfor EØS-området. Når det gjelder personidentifiserbare helseopplysninger som er samlet inn i Norge, mener departementet at overføring til land utenfor EØS bare kan finne sted dersom det har blitt gitt informasjon om at opplysningene kan overføres til land utenfor EØS, og at vedkommende enten ikke har reservert seg mot dette, eller eksplisitt samtykket til at dette kan gjøres. For avidentifiserte eller pseudonymiserte opplysninger, mener departementet at forskningsdeltakernes personvern blir ivaretatt tilstrekkelig dersom kobling til personidentifikasjoner ikke kan skje så lenge opplysningene befinner seg utenfor EØS-området.

Det kan også være behov for norske forskere å få helseopplysninger overført fra land utenfor EØS. Innenfor EØS-området er landene bundet av EUs personverndirektiv. Dette er ikke tilfelle for land utenfor EØS, og det kan derfor være vanskelig å vite hvordan opplysningene er blitt samlet inn. Departementet er opptatt av det materialet norske forskere benytter seg av må være innhentet på etisk forsvarlig vis, og foreslår derfor at helseopplysninger ikke kan overføres til Norge uten at man har forsikret seg om at disse er blitt innsamlet og behandlet forsvarlig. Lovens prinsipper om vern av forskningsdeltakere og menneskeverdet må ikke kunne uthules ved at forskere benytter seg av opplysninger fra utlandet som ikke kunne vært lovlig innsamlet i Norge.

Som utgangspunkt er departementet av den oppfatning at det derfor må oppstilles et krav om at den utenlandske databehandlingsansvarlige skriftlig må forsikre overfor forskningsansvarlig i Norge at behandlingen av personidentifiserbare opplysninger har skjedd eller vil skje i samsvar med personverndirektivet, og at den opplysningene gjelder har blitt informert om at overføring til Norge vil skje. Videre må det som for overføring til utlandet, være et vilkår at den det gjelder har samtykket eller hatt muligheten til å reservere seg, og ikke har gjort det.

Departementet ser at også andre regelverk enn EUs personverndirektiv vil kunne tilfredsstille kravene til forsvarlig ivaretakelse av personvern og selvbestemmelsesrett. Det foreslås derfor en forskriftshjemmel der departementet kan gi bestemmelser om bruk av helseopplysninger fra utlandet til forskning i Norge.

Det vises til lovutkastet § 37.

16.9 Forbud mot lagring av unødvendige helseopplysninger

16.9.1 Gjeldende rett

Helseregisterloven § 27 bestemmer at helseopplysninger ikke skal lagres lenger enn det som er nødvendig for å gjennomføre formålet med behandlingen av opplysningene. Hvis ikke helseopplysningene deretter skal oppbevares i henhold til arkivloven eller annen lovgivning, skal de slettes. Personopplysningsloven § 28 har tilsvarende regler.

16.9.2 Forslaget i NOU 2005:1

Utvalget foreslår en bestemmelse om rett til ubegrenset lagring av helseopplysninger med skjult identitet hos Arkivverket eller hos virksomhet som er tildelt databehandlingsansvar i medhold av helseregisterloven § 8.

16.9.3 Høringsinstansenes syn

Norsk samfunnsvitenskapelig datatjeneste mener at bestemmelsen om langtidslagring av helseopplysninger hos Arkivverket vil begrense forskernes mulighet til hensiktsmessig oppbevaring og gjenbruk av data over et lengre tidsperspektiv.

Den nasjonale forskningsetiske komité for medisin (NEM) mener at bestemmelsene i utvalgets forslag til § 2-3 bokstav f og § 7-8 harmonerer dårlig med hverandre. Dette blant annet fordi § 7-8 fremstår som en «kan»-bestemmelse. NEM mener videre at det bør stilles samme krav til obligatorisk lagring av opplysninger som for legemiddelutprøving, det vil si 15 år. De mener også at hensynet til datakvalitet og etterprøvbarhet tilsier at lagring av personidentifiserbare data bør være obligatorisk.

Sosial- og helsedirektoratet mener at en slik mulighet til lagring som utvalget foreslår forutsetter at deltakerne har innsyn i alle lagrede helseopplysninger som angår dem selv.

Kreftregisteret støtter utvalgets forslag til ubegrenset lagring av opplysninger med skjult identitet, og mener dette er en forutsetning for at registeret skal kunne fylle sine forskningsmessige oppgaver ved oppfølgingsstudier.

Datatilsynet mener at forslaget om langtidslagring medfører at den enkeltes kontroll med egne personopplysninger blir utvannet.

16.9.4 Departementets vurderinger og forslag

Departementet ønsker å tydeliggjøre at hovedregelen når det gjelder behandling av helseopplysninger er at opplysningene ikke skal lagres lenger enn det som er nødvendig.

Det vises til departementets lovutkast § 38.