1. Innledning
Personvernnemnda har ved oversendelse 16.09.02 fra Datatilsynet mottatt klage fra Ullevål universitetssykehus. Saken gjelder pålegg om sletting av biologisk materiale og tilhørende maskinlesbart materiale innsamlet i tilknytning til et forskningsprosjekt om hypo- og hyperkolesterolemi og familiær hyperkolesterolemi. Materialet oppbevares ved Ullevål, og har tidligere vært brukt i et forskningsprosjekt. Datatilsynet har pålagt materialet overført fra Ullevål til forskeren.
2. Saksgang
Forskeren fikk i vedtak av Datatilsynet 18.5.1999 konsesjon til føring av to registre på nærmere bestemte vilkår i tilknytning til to prosjekter: (1) Kartlegging av molekylærgenetisk årsak til hypo- og hyperkolesterolemi, og (2) Kartlegging av molekylærgenetisk årsak til familiær hyperkolesterolemi. Etter at forskeren forlot sin stilling ved Ullevål våren 1998 oppsto det uenighet om disposisjonsrett til materiale. Mesteparten av materialet tok forskeren med seg da han sluttet i sin stilling, men materialet på 392 (eller 402) blodprøver ble «gjenglemt» ved Ullevål.
Forskeren begjærte midlertidig forføyning for overføring av det «gjenglemte» materialet ved Oslo namsrett, som forkastet begjæringen i kjennelse av 3.1.2001. Kjennelsen ble påkjært til Borgarting lagmannsrett, som stadfestet namsrettens kjennelse i sin kjennelse av 8.6.2001. Oslo kommune (på vegne av Ullevål) anla sak ved Asker og Bærum herredsrett om tilbakelevering av prøvematerialet og dokumentasjon, og om erstatning. I dom av 29.11.1999 ble forskeren frifunnet for tilbakeleveringskravet, men dømt til å betale Oslo kommune en erstatning på 12 464 kr.
Så vidt Personvernnemnda er kjent med, verserer ikke saken for retten. Datatilsynet vurderte på dette grunnlag å pålegge Ullevål å overlevere det «gjenglemte» materialet til forskeren. Varsel om vedtak er datert 22.1.2002. Datatilsynet påla i vedtak av 30.4.2002 Ullevål å overføre det «gjenglemte» materialet til forskeren. Frist for oppfyllelse ble satt til tre uker, jfr eget brev av 2.5.2002. Ullevål søkte forlengelse av klagefrist og frist for å oppfylle pålegget i brev av 8.5.2002, søknaden ble godtatt av Datatilsynet i brev av 16.5.2002 og 2.7.2002. Sykehuset påklaget pålegget i brev av 21.6.2002, klagen anses rettidig fremmet.
Personvernnemnda innhentet på grunnlag av de spørsmål saken reiste, en betenkning om «Forholdet mellom 'biologisk materiale' og 'personopplysning'» av dr juris Lee Bygrave. Denne betenkningen forelå 22.12.2002, og følger som vedlegg til dette vedtaket. Under arbeidet med saken, innhentet Personvernnemnda ytterligere dokumentasjon av konsesjon av 22.12.1982 gitt Institutt for medisinsk genetikk, Universitetet i Oslo, oversendt fra Datatilsynet ved brev av 31.3.2003. Partene ble orientert om henvendelsen fra Personvernnemnda til Datatilsynet i forbindelse med denne konsesjonen, og klager ga i brev av 28.3.2003 synspunkter på spørsmålet.
3. Faktum
Faktum er i en viss grad berørt under 2.
I 1990 startet forskeren to forskningsprosjekter med det felles mål å kartlegge den genetiske årsak til unormale variasjoner i kolesterolinnholdet i blodet til et stort antall personer. Det ene tar sikte på å kartlegge genetiske defekter som medfører unormalt lavt eller høyt kolestrolinnhold (hypo- og hyperkolesterolemi), mens det andre tar sikte på å kartlegge genetiske defekter knyttet til arvelig betinget høyt kolesterolinnhold (familiær hyperkolesterolemi).
Til bruk som forskningsmateriale ble det innsamlet blodprøver fra 2 727 personer gjennom et samarbeid forskeren hadde med flere leger, både ved Ullevål og andre institusjoner. Det ble tatt 2 249 prøver ved Lipidklinikken, Rikshospitalet, i det vesentlige fra pasienter som mottok klinisk behandling for forhøyet kolesterol. Ytterligere 68 prøver ble tatt av behandlende leger ved ulike andre institusjoner, i tillegg ble det innsamlet omtrent 410 prøver ved Ullevål sykehus. Omtrent halvparten var fra personer som ved en tidligere rutineundersøkelse for 40-åringer hadde fått avdekket forhøyet kolesterolinnhold i blodet, og prøvene ble i det vesentlige tatt av forskeren og hans medarbeidere. Selve forskningen foregår på det DNA-materialet som er ekstrahert fra blodprøvene. Et sentralt hjelpemiddel var syntetisk fremstilte reagenser (oliginukleotider eller primere) produsert ved Ullevål ved hjelp av sykehusets utstyr av en universitetstilsatt tekniker knyttet til Ullevål. I tilknytning til prosjektet fører forskeren et register med personopplysninger om de som avga prøvene – opplysningene omfatter bl a navn, fødselsdato, adresse, høyde, vekt, navn på behandlende lege, resultat av kolesterolmåling og resultater av genteknologiske undersøkelser. Opplysningene ble lagret separat på forskerens datamaskin.
I 1995 oppsto det visse samarbeidsvanskeligheter i forhold til en prosjektmedarbeider som også var lege. Konflikten ble løst ved at flere blodprøver fra prosjektet ble fordelt mellom de to legene med sikte på videre undersøkelser foretatt av dem separat. Våren 1998 sa forskeren opp sin stilling for å tiltre ny stilling ved Rikshospitalet. Til tross for protester fra Ullevål, tok forskeren med seg de prøvene han mente å ha rett (og plikt) til å disponere over. Dette førte til en tvist og til den avgjørelse av Asker og Bærum herredsrett som det er henvist til ovenfor under pkt 2, og som fastslo at forskeren var berettiget til å disponere over materialet. I forbindelse med tvisten tilskrev Rikshospitalet i juni 1999 de pasientene som tidligere hadde tatt del i undersøkelser gjennomført i regi av leger tilsatt ved Rikshospitalet. Pasientene ble bedt om å avgi et positivt samtykke til fortsatt undersøkelse av prøvene, i motsatt fall ville materialet bli destruert. De ble også bedt om å samtykke til varig oppbevaring av opplysningene i pasientjournal etter prosjektets avslutning. Brorparten av disse pasientene ga slikt samtykke.
I løpet av rettssaken for Asker og Bærum herredsrett ble det klart at forskeren ikke hadde fått med seg 402 blodprøver fra Ullevål som ble oppbevart i en separat fryser, selv om han var i besittelse av DNA ekstrahert fra samtlige prøver. De «gjenglemte» prøvene omfattes ikke av dommen fra Asker og Bærum herredsrett. Ullevål motsetter seg å utlevere dette materialet. Forskeren forsøkte å få materialet ved hjelp av midlertidig forføyning, men denne begjæring – som nevnt ovenfor – førte ikke frem.
4. Anførslene
4.1. Ullevåls anførsler
Ullevål anfører primært at det er lagt feil faktum til grunn for Datatilsynets vedtak. Dette gjelder hvorvidt materialet er innhentet som ledd i et forskningsprosjekt. Ullevål mener at innkallingsbrevet ikke klart gir uttrykk for at prøvene skulle brukes i forskning eller klinisk behandling. Ullevål påpeker at de personer som avla blodprøve med sikte på senere analyse, også fikk tilbud om å bli meddelt resultatet av prøvene. Det ble også sørget for oppfølging der dette var nødvendig. Ullevål påpeker også tilknytning til det såkalte MED-PED-tiltaket (MED-PED er en forkortelse for «Make early diagnosis – prevent early death»), et internasjonalt forskningssamarbeid omkring familiær hyperkolesterolemi som Ullevål mener fører til en rett og plikt til oppbevaring av personidentifiserbar informasjon og blod eller DNA-prøver. Dernest anfører Ullevål at det foreligger materiell kompetansemangel. Det fremheves at helseregisterloven § 32 gir Datatilsynet en hjemmel til å gi pålegg i forhold til «helseopplysninger», og at dette ikke omfatter biologisk materiale. På samme måte mener Ullevål at personopplysningsloven bare omfatter «personopplysninger», og altså ikke biologisk materiale.
Ullevål anfører også at det foreligger personell kompetansemangel fordi Datatilsynet i realiteten fungerer som et «tvisteløsningsorgan» i forhold til den uenighet som er oppstått mellom forskeren og Ullevål.
I denne forbindelse viser Ullevål til at det i Datatilsynets vedtak av 18.5.1999, som gir konsesjon til forskeren, innledningsvis er tatt et forbehold om at konsesjonen ikke tar stilling til konflikten mellom forskeren og Ullevål, og ikke er avgjørende med hensyn til «opphavsrett» til opplysningene. Man mener at pålegget er i strid med dette forbeholdet.
5. Datatilsynets vurdering
Datatilsynet henvendte seg i brev av 24.8.2001 til Ullevål for en redegjørelse, og Ullevål svarte i brev av 4.9.2001 at materialet var innsamlet både til bruk i forskning og klinisk behandling, og at nedtegnelsene ble ført i pasientjournal og oppbevart som dette. Datatilsynet ba deretter om en vurdering av Statens helsetilsyn, som besvarte henvendelsen i brev av 14.12.2001. Datatilsynet oppfattet svaret slik at Helsetilsynet mente at materialet ikke var omfattet av journalen etter helsepersonelloven §§ 39 og 40 med tilhørende forskrift om pasientjournal.
Datatilsynet legger vesentlig vekt på dommen fra Asker og Bærum herredsrett. Selv om dommen ikke direkte omhandler det saken gjelder, omtaler retten det samme forskningsprosjektet. Datatilsynet mener at Ullevål ikke har godtgjort at det «gjenglemte» materialet er innhentet for annet formål enn det som omhandles i dommen, og påpeker at dommen finner at prosjektene «i det vesentlige» må karakteriseres som forskningsprosjekt. Dommen omhandler også Ullevåls eventuelle oppbevaringsplikt, og finner at det må skilles mellom behandling av pasientene og forskningen som sådan. Retten fant at forsvarlighetskravet i helselovgivningen ikke var til hinder for at forskeren brakte med seg det materialet dommen omhandlet.
Datatilsynet fremhever at det vanligvis skilles mellom forskningsprosjekter som finner sted i sykehusets lokaler og helsehjelp i sykehusets regi. Datatilsynet forutsetter derfor at samarbeidende leger har sikret seg nødvendige data og prøver for utføring av forsvarlig helsehjelp. Man støtter seg til dels også til brev fra leger som deltok i prosjektet.
Når det gjelder materiell kompetanse anser Datatilsynet at biologisk materiale som direkte eller indirekte er identifiserbart, alltid vil være personopplysninger, og dermed regulert av personopplysningsloven.
Når det gjelder anførselen med hensyn til personell kompetanse, mener Datatilsynet at det ikke har påtatt seg en tvisteløsningsfunksjon. Ettersom Datatilsynet anser det biologiske materialet som person- og helseopplysninger, må innsamling og bruk ha hjemmel i lov. Mangler slik hjemmel, følger det av personopplysningsloven § 28 og helseregisterloven § 27 at unødvendige opplysninger ikke skal lagres. Datatilsynet anser at Ullevål mangler hjemmel for å oppbevare eller benytte materialet.
På dette grunnlag mener Datatilsynet at det kan kreve opplysningene som det biologiske materialet representerer, destruert. Forskeren har imidlertid konsesjon, og oppbevarer det resterende materialet. Datatilsynet anser et pålegg om overføring mindre inngripende enn destruksjon, og finner dermed å ha hjemmel til dette.
6. Personvernnemndas vurderinger
6.1. Saksbehandlingsfeil
Klager anser at Datatilsynet har lagt feil faktum til grunn, og argumenterer med at blodprøvene ikke utelukkende er til forskningsformål, men også grunnlag for behandling av de pasienter prøvene refererer seg til.
Personvernnemnda viser – som Datatilsynet – til den vurdering som er gjort av Asker og Bærum herredsrett. Det er riktignok slik at dommen ikke direkte angår de ca 400 prøvene som er sentrale i denne sak. Men slik Nemnda forstår saken, er årsaken til at disse prøvene ikke ble tatt med av forskeren da han forlot Ullevål at de ble oppbevart separat. Nemnda forstår det også slik at denne separate oppbevaring ikke skyldtes at prøvene hadde en annen karakter, eller var tatt for annet formål, enn de prøver som forskeren faktisk tok med seg. Det er naturlig for Nemnda – i likhet med Datatilsynet – å legge vekt på den vurdering herredsretten gjør i sin dom i forhold til det resterende materiale, som karakteriseres som i det vesentlige å tjene forskningsformål.
Nemnda vil også – i likhet med Datatilsynet – anse det som både normalt og sterkt anbefalelsesverdig å opprettholde et skille mellom forskningsprosjekter som foretas ved et sykehus eller lignende institusjon, og det materiale eller de opplysninger som innsamles med sikte på behandling av pasienter.
Nemnda finner ikke at det foreligger slik saksbehandlingsfeil som klager hevder.
6.2. Materiell kompetanse
Personvernnemnda konstaterer at Institutt for medisinsk genetikk i konsesjon 22.12.1982 har fått tillatelse til føring av et «Arvelighetsregister». Denne konsesjonen inneholder i pkt 3.1 en omfattende oppregning av typer av personopplysninger som kan registreres, og har in fine en bestemmelse som sier:
«I tillegg kan registreres opplysninger som er fremkommet i forbindelse med laboratorieprøver, røntgenundersøkelser og tilleggsopplysninger fra den registrerte selv.»
Datatilsynet kommenterer konsesjonen i brev av 31.3.2003, og sier bl a at «konsesjonens ordlyd kan fremstå som noe uklar på dette punket», men fremhever at den ikke gir grunnlag for å starte det prosjekt som i dette vedtaket står sentralt, og henviser her til «en mangeårig og ensartet forvaltningspraksis». Personvernnemnda legger dette til grunn, og slutter seg også til det syn som Datatilsynet fremholder, nemlig at denne konsesjonen var gitt til en annen institusjon enn Ullevål sykehus, og allerede av denne grunn ikke kan være relevant for vurderingen i denne saken.
Personvernnemnda legger derfor til grunn at forskerens prosjekt startet uten at det på forhånd var innhentet nødvendig konsesjon fra Datatilsynet. Først etter at tvisten var brakt inn for retten (jfr ovenfor), søkte forskeren om konsesjon som ble gitt 18.5.1999. Dermed blir det springende punkt for Nemnda i denne saken spørsmålet om hvorvidt biologisk materiale skal anses som personopplysninger. Datatilsynet sier i sitt oversendelsesbrev til Nemnda at det anser biologisk materiale «som er direkte eller indirekte identifiserbart» alltid å være en personopplysning i personopplysningslovens forstand, og også en helseopplysning i helseregisterlovens forstand. Nemnda anså dette spørsmålet som så vidt viktig at Nemnda innhentet en egen utredning som belyser dette spørsmålet prinsipielt uavhengig av den aktuelle sak. Utredningen følger som vedlegg til vedtaket.
Det finnes to alternative tolkninger.
Det ene alternativ tar utgangspunkt i en skarp sondring mellom personlige «egenskaper» på den ene side, og «opplysninger» på den annen side. I henhold til dette alternativet, er «opplysninger» alltid noe som er skapt av mennesker i form av nedtegnelser mv eller registrert ved hjelp av systemer (typisk datamaskinbaserte transaksjonsorienterte systemer som registrerer «elektroniske spor»). Det annet alternativ bygger på den observasjon at det vil fremstå som kunstig i grensetilfeller – som nærværende sak kan være et eksempel på – å sondre mellom en identifiserbar blodprøve, som gjennom selv enkle analyser kan gi opplysninger om den aktuelle person – og et register hvor disse opplysningene er nedtegnet. På en måte trekkes analogien mellom det biologiske materialet og andre bærere av opplysninger, som f eks en magnetplate med et personregister. Heller ikke de opplysninger som magnetplaten bærer, kan leses direkte, men forutsetter bruk av et utstyr for at opplysningene skal kunne utnyttes.
Personvernnemnda mener denne siste observasjonen klart gjør det nødvendig å koordinere reguleringen av bruk av biologisk materiale med reguleringen av personopplysninger. Som det bl a er påpekt i utredningen, fører den teknologiske utviklingen til at man får systemer som direkte utnytter biologisk materiale eller på annen måte utnytter egenskaper ved en person (fingeravtrykk, retinamønstre) i forbindelse med bruk av personopplysninger.
Etter Personvernnemndas syn, er det også et klart reguleringsbehov for bruk og oppbevaring av biologisk materiale. Et reguleringsbehov er imidlertid ikke tilstrekkelig til å anta at den mest hensiktsmessige regulering av biologisk materiale vil kunne skje innenfor rammene av personopplysningsloven. Personvernnemnda mener det lett kan gis eksempler på at en kvalifikasjon av alt identifiserbart biologisk materiale som personopplysninger vil kunne gi personopplysningsloven et anvendelsesområde som er videre enn ønskelig.
Nemndas flertall (Bing, Bjurstrøm, Elgesem, Pedersen og Rogde) mener derfor at man bør tolke personopplysningsloven i henhold til det første alternativ, og opprettholde et så skarpt skille som mulig mellom personopplysninger og biologisk eller organisk materiale. Et mindretall (Stalheim, Thune) slutter seg til den tolkning som er angitt som annet alternativ, og som er lagt til grunn av Datatilsynet. Denne uenigheten om tolkningen av bestemmelsen, får i dette tilfellet ikke virkning på resultatet av nemndas vedtak. Etter mindretallets oppfatning kan det ikke være riktig å skjelne mellom et utvalg blodprøver og den informasjon som er lagret i disse prøvene. Hele poenget med å samle inn blodprøver, er jo å utnytte den informasjon de samme prøvene gir. Noe mer personlig identifikasjon enn den som ligger i en blodprøve kan vanskelig tenkes. Mindretallet deler derfor Datatilsynets oppfatning av at blodprøver må anses å være personopplysninger. De avgrensningsproblemer dette skaper i forhold til personopplysningsloven, vil neppe være vanskeligere enn avgrensningsproblemer bioteknologien i alle tilfelle skaper for lovgiverne.
Selv om Personvernnemnda er delt i synet på den aktuelle tolkningen, mener en samlet nemnd at man ved tolkningen bør legge grunnlaget for en hensiktsmessig avgrensning mellom den biobankloven (2003:12) og personopplysningsloven. Nemnda forstår nærmest departementet dit hen at departementet støtter den første tolkningen (Ot prp nr 56 (2001-2002) Om lov om biobanker (biobankloven) i vurdering av utvalgets forslag til definisjon av biobank, jfr proposisjonens pkt 6.3.3). Imidlertid har biobankloven § 2, 2.ledd en definisjon av «forskningsbiobank» som også omfatter opplysninger utledet av det biologiske materialet. Dette omtales i tilknytning til merknadene til utkastet § 2, 2.ledd (proposisjonen s 47). Personvernnemnda tar til etterretning at departementet anser denne typen opplysninger som utilfredsstillende regulert i dagens lovgivning. Men etter Nemndas syn er det helt klart at personopplysningsloven etter gjeldende rett kommer til anvendelse på denne typen opplysninger, og man derfor burde søke en bedre avklaring på samvirket mellom de to lovene.
Personvernnemnda peker på at definisjonen av personopplysning i personopplysningsloven omfatter både identifiserende element som knytter opplysninger til et bestemt individ (typisk navn, registreringsnummer eller lignende), og de opplysninger som gjennom det identifiserende element videre er knyttet til personen. En liste som bare inneholdt navn ville utvilsomt være av liten praktisk verdi, men ville likevel være personopplysninger etter definisjonen i personopplysningsloven § 2 nr 1, navnet kan knyttes til enkeltperson – selv om opplysningene i seg selv er ytterst marginale (stavemåte, mellomnavn).
Man antar at det ofte vil være tilfellet – som i nærværende sak – at biologisk materiale typisk er lagret med identifikasjon av de personer materialet er knyttet til. Da vil identifikasjonen, og enn mer de analysedata mv som er knyttet til personer gjennom identifikasjonen, være personopplysninger. Dette vil også typisk være sensitive opplysninger etter personopplysningsloven § 2 nr 8 litra c, og behandlingen faller inn under personopplysningsloven – også om biobanken skal tjene forskningsformål. Dette viser at selv om man tolker «personopplysning» etter første alternativ, vil det i tilknytning til det biologiske materialet typisk registreres personopplysninger som faller inn under personopplysningsloven.
Personvernnemnda forfølger ikke disse prinsipielle synspunktene, men det illustrerer at avgjørelsen har konsekvenser utover nærværende sak. Etter dette er Nemnda kommet til at de omtrent 400 blodprøvene som oppbevares av Ullevål sykehus ikke i seg selv representerer personopplysninger. Imidlertid vil de opplysninger som er registrert om de personer som prøvene stammer fra, være personopplysninger, inklusive identifiserende elementer som navn eller referansenummer. Dette er personopplysninger som forskeren fikk rett til å registrere og behandle etter konsesjon fra Datatilsynet, og som klager mangler tilsvarende rett i forhold til. Det er også etter Personvernnemndas syn klart at selv om prøvene i seg selv ikke er personopplysninger, kan Datatilsynet i forbindelse med en konsesjon stille betingelser knyttet til oppbevaring, sikring, behandling eller destruksjon av slikt materiale – på samme måte som det kan knyttes andre saklige betingelser til konsesjonen, jfr personopplysningsloven § 35.
Etter dette er Personvernnemnda kommet til at klager mangler grunnlag for å lagre eller bruke de personopplysninger som er knyttet til prøvene.
Datatilsynet anfører at når klager mangler et rettslig grunnlag, kan Datatilsynet kreve at den urettmessige behandlingen av personopplysningsloven opphører, jfr personopplysningsloven § 46. I dette tilfellet vil det innebære et pålegg om sletting. Datatilsynet anfører videre at når Tilsynet har hjemmel til å kreve sletting, må det også kunne påby et mindre inngripende tiltak, i dette tilfellet overføring til en behandlingsansvarlig som har tillatelse til å behandle opplysningene, dette nærmest som en slutning fra det mer til det mindre.
Personvernnemnda finner at sletting og overføring er kvalitativt forskjellige tiltak, spørsmålet blir om det kan anses etter personopplysningsloven § 46 som et «vilkår som må oppfylles for at behandlingen skal være i samsvar med loven». Personvernnemnda tolker personopplysningsloven § 46 slik at dette må være vilkår som retter seg mot den som faktisk behandler personopplysningene (den behandlingsansvarlige), i dette tilfellet tiltak som kan gjennomføres av klager, og at krav om overføring til en tredjepart ikke kan hjemles i personopplysningsloven § 46. Nemnda mener altså at den mangler kompetanse til å påby overføring av materialet.
Personvernnemnda er derfor kommet til at klager må slette opplysningene i tilknytning til de aktuelle prøvene. Dette hindrer selvsagt ikke at klager av eget tiltak velger å overføre materialet for å unngå at opplysninger går tapt.
7. Vedtak
Personvernnemnda finner at klager må slette alle personopplysninger, inklusive identifiserende elementer, som klager oppbevarer i tilknytning til de såkalte «gjenglemte» blodprøvene.
For Personvernnemnda
Jon Bing
Leder
Vedlegg: Utredning av dr. juris Lee Bygrave:
Forholdet mellom «biologisk materiale» og «personopplysning» av 22.12.2002.