Personvernnemndas avgjørelse av 4. februar 2014 (Eva I E Jarbekk, Arve Føyen, Nina Melsom, Marta Ebbing, Ørnulf Rasmussen, Ann R Sætnan, Gisle Hannemyr)
1 Innledning
Personvernnemnda har ved oversendelse fra Datatilsynet mottatt klage på Datatilsynetsavslag på søknad om konsesjon.
2 Saksgang
Datatilsynet mottok søknad om konsesjon den 5. februar 2013. Søknaden var innsendt via personvernombudet ved Oslo Universitetssykehus (OUS) og gjaldt forskningsprosjektet "Anti-androgen behandling med eller uten definitiv strålebehandling ved lokalavansert prostatakreft".
I forbindelse med ovennevnte forskningsprosjekt ble det søkt om kobling av data mellom et allerede eksisterende forskningsprosjekt og data i Kreftregisteret og Reseptregisteret. Prosjektet ble godkjent av REK i vedtak av 1. februar 2013.
Datatilsynet avslo søknad om konsesjon i brev av 15. mai 2013. Datatilsynet mottok klage fremsatt av OUS i brev av 4. juni 2013.
Saken ble oversendt Personvernnemnda 29.8.2013, som mottok saken 9.9.2013. Klager ble orientert om dette i brev fra nemnda datert 16.9.2013, med frist til uttalelse innen 2.10.2013. Klager kom med en uttalelse i saken i brev datert 30.9.2013.
3 Faktum
Klager har søkt om konsesjon til kobling av data mellom et allerede eksisterende forskningsprosjekt og data i Kreftregisteret og Reseptregisteret. I studien SPCG VII evalueres verdien av strålebehandling ved lokalavansert prostatakreft og det skal i det omsøkte prosjektet gjøres en tiårig oppfølging. Oppfølgingen gjelder langtidsvirkningen av behandlingen som er gitt, dato for tilbakefall (hentes fra opplysninger i Reseptregisteret) samt dødsårsak/dødsdato for de som er døde. I det opprinnelige prosjektet ble det avgitt samtykker, men det slås fast i søknaden at disse samtykkene ikke tilfredsstiller dagens krav til samtykker, jf. helseregisterloven § 2 nr. 11. Det søkes om tillatelse til å gjennomføre kobling med Reseptregisteret basert på det opprinnelige samtykket som betegnes som "initiale samtykker". Det går frem av søknaden at det skal sendes informasjon om reservasjonsrett til de registrerte, men forsker har i telefonsamtale med Datatilsynet opplyst at dette ikke er tilfelle.
Opplysningene som hentes fra Reseptregisteret skal tilbakeføres til de inkluderte, og etter Datatilsynets forståelse skal dette gjennomføres på en måte som muliggjør identifisering av enkeltpersoner. I henhold til reseptregisterforskriften § 5-3 annet ledd, må koblinger mot Reseptregisteret som ikke fyller vilkårene i bestemmelsens første ledd godkjennes av Datatilsynet.
4 Klagers anførsler
Klager skriver at søknaden ble avslått fordi koblingen ikke oppfyller de formelle krav fra Reseptregisterforskriften. REK har godkjent en slik kobling.
Klager opplyser at tilskrivelse til pasientene ikke anses som en praktisk mulighet, da minst 250 av disse allerede er døde. Det anføres videre at disse har avgitt et «bredt samtykke» til oppfølgning ved kontakt med legen ved inklusjon i behandlingsstudiet. Reseptregisteret ble ikke nevnt fordi det ikke fantes på dette tidspunktet.
Det anføres i klagen at det vil være meget vanskelig praktisk sett å få relevant og fullstendig informasjon dersom man ikke kan gjøre den aktuelle koblingen til Reseptregisteret.
Det vises til saker som anses sammenlignbare med den aktuelle søknaden, Datatilsynets saksnummer 06/01192 og en nylig avgjort sak av Personvernnemnda hvor det ble tillatt koblinger mellom Reseptregisteret og HUNT-data basert på «bredt samtykke». Klager anfører at denne saken må vurderes på samme måte som HUNT-saken.
Klager er enig i at informasjonsdokument og samtykkeerklæring fra 1996 ikke samsvarer ordrett med dagens krav i en tilsvarende studie som innbefatter kobling til Reseptregisteret. Informasjonsskrivet og samtykkeerklæringen ble forfattet før Reseptregisteret ble etablert. I sin samtykkeerklæring fra 1996 samtykket pasienten i at man skulle kunne følge opp pasienten ved henvendelse til ansvarlig lege. Dette innbefatter i en slik studie å få informasjon om tidspunkt for progresjon og død. Progresjon, som er et meget vesentlig endepunkt i denne studien, begynner med at pasienten får kirurgisk eller medikamentell kastrasjon, det siste ved bruk av LHRH-analoger som registreres i Reseptregisteret.
Klager anfører at samtykkeerklæringen fra 1996 dekker en slik datakobling med Reseptregisteret (bred samtykkeerklæring) som er et praktisk gjennomførbart alternativ for en ikke gjennomførbar legekontakt. Det er lenge siden oppstart av studiet og mange av de behandlende legene er pensjonerte eller har byttet arbeidssted.
Cirka halvparten av pasientene er døde og kan i alle tilfelle ikke tilskrives. Å kontakte nærmeste pårørende er ikke aktuelt. På den andre siden er det nettopp disse pasientene som vi må anta at progresjon er av størst betydning for denne studien. Levende pasienter kan eventuelt tilskrives, men alle er nå i meget høy alder, noe som gjør at man er svært tilbakeholden med å kontakte dem angående en sak som de prinsipielt har vært enige i. Det kan også opplyses at pasientene regelmessig i fem år har blitt kontaktet av en studieassistent om bivirkninger, slik at det – også for norske pasienter – er samlet inn omfattende informasjon om deres seksualliv, vannlatings- og tarmproblemer opp til fem år. Det er da merkelig om de skulle ha noe imot at legen vet hvilke medisiner de til enhver tid har brukt.
Det nevnes flere ganger i Datatilsynets brev at OUS er enig i noen avgjørelse og beskrivelser fra Datatilsynet. Klager ønsker å påpeke at det gjelder Personvernombudet ved OUS og ikke det medisinske miljøet som har behandlet disse pasientene.
Klager anfører endelig at koblingen med Reseptregisteret vil gi det medisinske miljøet i Norge viktige data om levetid av pasienter med prostatakreft etter at de har progrediert på sin første hormonbehandling. Slike data finnes ikke nasjonalt og heller i internasjonal litteratur, men etterlyses, ikke minst av de norske politikere som skal betale ny og meget kostbar behandling for slike pasienter med antagelig meget begrenset overlevelsestid. Klager har fått flere henvendelser fra Statens Legemiddelverk og sykehusadministratorer om å estimere levetid av pasienter som har startet med 2. linjes hormonbehandling som mange av disse pasienter på grunn av progresjon. Slike data finnes altså ikke, men kunne genereres ut fra SPCG VIIs medisinske data hvis man kunne få dato for progresjon via kobling med Reseptregisteret.
5 Datatilsynets vurdering
Om Reseptregisterforskriften
Reseptregisteret er etablert som et pseudonymt helseregister, jf helseregisterloven § 8, annet ledd. I informasjonen som er gitt til befolkningen om Reseptregisteret, heter det at lagrede reseptopplysninger ikke skal kunne tilbakeføres til legemiddelbruker. Kjernen i dette er at ingen andre enn pasienten skal ha tilgang til både pseudonym, identitet og helseopplysning samtidig. Reseptregisterforskriften § 4-1 stiller et rettslig reverseringsforbud. Dette innebærer at det er ulovlig å omgjøre et pseudonymt register til å bli et personidentifiserbart register. Reverseringsforbudet er imidlertid ikke til hinder for at pseudonyme registre kan sammenstilles, forutsatt at dette skjer i tråd med reglene for pseudonyme registre. Se HODs rundskriv I-8/2005 Pseudonyme helseregistre.
Datatilsynet har gjennom sin praksis tillatt koblinger av data fra Reseptregisteret som reelt sett oppfyller forskriftens krav til pseudonymitet. Alle sammenstillinger med reseptregisterdata må utføres ved Reseptregisteret. Pseudonymiseringen skjer i en lukket prosess som driftes av SSB som er pålagt å være tiltrodd pseudonymforvalter (TPF) for Reseptregisteret.
Folkehelseinstituttet har utarbeidet et notat om hvordan sammenstilling av data med Reseptregisteret skal gjennomføres, med oversikt over de formelle kravene og selve koblingsprosessen.
Koblinger som ikke anses pseudonyme tillates kun dersom det foreligger samtykke fra de registrerte. Tilsynet har tillatt samtykkebaserte koblinger fordi den enkelte registrerte i disse tilfellene gis anledning til å vurdere deltakelse selv.
Datatilsynet har ved samtykkebaserte koblinger med data fra Reseptregisteret stilt krav om at det eksplisitt er samtykket til koblingene. Det anses ikke tilstrekkelig at det er avgitt et generelt samtykke for eksempel til "andre helseregistre". Begrunnelsen for dette strenge kravet, er blant annet den informasjonen som er gitt til norske borgere om registeret. Datatilsynet vurderer også at opplysningene i registeret er av en slik karakter at det er behov for høy grad av beskyttelse.
Datatilsynets vurdering og konklusjon i avslag på søknad om konsesjon
Datatilsynet vurderte søknaden og kom til at søknad om konsesjon til å behandle helseopplysninger i forbindelse med forskningsprosjektet "Anti-androgen behandling med eller uten definitiv strålebehandling ved lokalavansert prostatakreft" måtte avslås.
Avslaget ble begrunnet i at den omsøkte behandlingen av helseopplysninger ikke oppfyller noen av de alternative vilkårene for kobling med Reseptregisteret. Koblingene oppfyller verken kravet om pseudonymiserte koblinger eller alternativt kravet om samtykke fra de registrerte dersom pseudonymiseringskravet fravikes.
Det er etter Datatilsynets oppfatning enighet mellom tilsynet og OUS om at koblingen som søkes gjennomført ikke tilfredsstiller reseptregisterforskriftens krav til pseudonyme koblinger.
Datatilsynet oppfatter videre at det også er en viss enighet om at samtykkene som foreligger i forskningsprosjektet "Anti-androgen behandling med eller uten definitiv strålebehandling ved lokalavansert prostatakreft" ikke tilfredsstiller helseregisterlovens krav til samtykker, jf. § 2 nr. 11. Det er imidlertid ikke enighet rundt hvorvidt koblingene likevel kan gjøres med grunnlag i de samtykkene som ble avgitt i oppstarten av behandlingsstudiet.
OUS viser til to tidligere saker i Datatilsynet hvor slike koblinger har blitt tillatt. Datatilsynets oppfatning er at disse sakene ikke er sammenlignbare.
I saksnummer 06/01192 gir Datatilsynet konsesjon til kobling med Reseptregisteret med hjemmel i de registrertes samtykke. Datatilsynet presiserer i vedtaket at det i praksis vil skilles mellom koblinger som er basert på samtykke og ikke. Ettersom det ikke foreligger dekkende samtykker i forskningsprosjektet "Anti-androgen behandling med eller uten definitiv strålebehandling ved lokalavansert prostatakreft", mener Datatilsynet at det ikke kan legges vekt på tilsynets tidligere vedtak. Etter tilsynets oppfatning taler vedtaket heller i mot at konsesjon skal innvilges, ettersom det presiseres at det er samtykket som behandlingsgrunnlag som er avgjørende for sakens utfall.
I Personvernnemndas vedtak i saksnummer PVN-2013-04, kom nemnda til at kobling mellom Reseptregisteret og HUNT-data kunne tillates. Personvernnemnda vurderte hvorvidt det forelå gyldige samtykker til koblingen. Det ble lagt avgjørende vekt på at de registrerte hadde samtykket til kobling mot helseregistre generelt, og konteksten samtykkene ble avgitt i tilsa en vilje til deltakelse i denne typen forskning. Datatilsynet mener at heller ikke denne avgjørelse kan tillegges stor vekt i vurderingen av om den omsøkte koblingen kan tillates. Samtykkene og informasjonen som gis i forbindelse med prosjektet "Anti-androgen behandling med eller uten definitiv strålebehandling ved lokalavansert prostatakreft" er av et helt annet omfang og karakter enn i den omfattende Helseundersøkelsen i Nord-Trøndelag (HUNT). Nemndas vedtak har etter Datatilsynets oppfatning ikke rekkevidde til å generelt kunne begrunne koblinger mellom Reseptregisteret og andre forskningsprosjekter/registre utenom i de tilfellene hvor det er gitt omfattende og relevant informasjon forut for samtykkene.
De samtykkene som er avgitt i forbindelse med prosjektet "Anti-androgen behandling med eller uten definitiv strålebehandling ved lokalavansert prostatakreft", kan ikke gi grunnlag for kobling med Reseptregisteret. De registrerte ble invitert til å delta i en undersøkelse om strålebehandlingens plass. Informasjonen er etter Datatilsynets oppfatning i hovedsak knyttet til de medisinske konsekvensene av deltakelse. Informasjonsskrivet inneholder ingen informasjon om at det kan bli aktuelt å gjøre koblinger mot andre helseregistre. Koblingen kan følgelig ikke anses å være basert på samtykke.
Koblingen av data mellom "Anti-androgen behandling med eller uten definitiv strålebehandling ved lokalavansert prostatakreft" og Reseptregisteret kan ikke tillates. Dette begrunnes med at ingen av de alternative vilkårene for kobling mot reseptdata som følger av reseptregisterforskriften og Datatilsynets praksis anses å være oppfylt.
6 Personvernnemndas merknader
Saken gjelder langtidsoppfølging ved kobling av data mellom forskningsprosjektet og data i Kreftregisteret og Reseptregisteret. Oppfølgingen gjelder langtidsvirkningen av behandlingen som er gitt.
I samtykkeskjemaet fra juli 1995 blir pasientene opplyst om utlevering av helseopplysninger slik:
Du gjøres oppmerksom på at kontrollmyndighetene vil kunne ha behov for å gå gjennom din journal.
Klager har dermed adgang til å gjennomgå pasientjournalen. Klager ønsker imidlertid en mer strukturert innhenting av oppfølgningsdata ved kobling med flere helseregistre, deriblant Reseptregisteret selv om de samme opplysninger kan gjenfinnes i journal.
I reseptregisterforskriften § 4-1 er det et forbud mot samtidig tilgang som lyder:
§ 4—1. Forbud mot samtidig tilgang
Ingen, verken TPF, databehandler eller databehandlingsansvarlig, skal kunne få samtidig tilgang til pseudonym, reseptopplysninger og fødselsnummer eller helsepersonellnummer.
Forbudet gjør det ulovlig å omgjøre et pseudonymt register til å bli et personidentifiserbart register og er et meget vesentlig element i sikring av Reseptregisterets konfidensialitet. Forbudet skal sikre at ingen, på grunnlag av opplysningene som er registrert, kan identifisere de personer som dataene refererer seg til. Dette betyr at Datatilsynet ikke kan gi konsesjon til slik kobling, med mindre koblingen er pseudonymisert eller den registrerte samtykker.
Koblingen i denne saken skal ikke være en pseudonymisert kobling. Spørsmålet er da om samtykket som er innhentet dekker en slik kobling. I denne saken har pasienten samtykket til å delta i studien og til gjennomgang av sin journal. Samtykket omfatter ikke, slik som for eksempel i PVN-2013-04 HUNT, et samtykke til kobling mot helseregistre. Ordlyden i samtykketeksten er taus på dette punkt. Det er ikke gitt informasjon om kobling mot andre registre i denne saken. Det er ikke innhentet samtykke til senere kobling mot andre registre. Dette er etter nemndas syn en stor forskjell fra HUNT-saken.
Personvernnemnda slutter seg til Datatilsynets vedtak i denne saken.
7 Vedtak
Klagen tas ikke til følge.
Oslo, 4. februar 2014
Eva I E Jarbekk
Leder