Personvernnemndas avgjørelse av 19.08.04 (Jon Bing, Gro Hillestad Thune, Per Anders Stalheim, Hanne Bjurstrøm, Dag Elgesem, Siv Bergit Pedersen, Sidsel Rogde).
1. Innledning
Personvernnemnda har ved oversendelse fra Datatilsynet mottatt klage på Datatilsynets vedtak av 24.10.03. Saken gjelder konsesjon til å gjennomføre prosjektet “Prevalence and causal factors of lung fibrosis among employees in the Norwegian Silicon Carbide Industry” uten betingelse om innhenting av frivillig og utrykkelig informert samtykke.
2. Saksgang
STAMI søkte 11.09.02 via Norsk samfunnvitenskaplig datatjeneste (NSD) om konsesjon for prosjektet “Prevalence and causal factors of lung fibrosis among employees in the Norwegian Silicon Carbide Industry”. Datatilsynet ga konsesjon på nærmere bestemte vilkår i brev av 09.01.03. STAMI sendte11.07.03 via NSD ny konsesjonssøknad for tildels samme prosjekt til Datatilsynet som behandlet søknaden som ny søknad og ikke som klage. I brev av 24.10.03 ga Datatilsynet på nytt konsesjon og opprettholdt krav om informert samtykke for delstudie 1 og 2. Det ble avholdt møte mellom forskere, representant for Kreftregisteret og Datatilsynet 18.11.03 STAMI ble gitt endelig klagefrist til 09.12.03. STAMI påklaget vedtaket i brev av 08.12.03, samt oversendte uttalelse vedrørende vedtaket fra personombudet NSD. Datatilsynet opprettholdt vedtaket og klagen ble oversendt Personvernnemnda 14.04.04. Personvernnemnda oversendte brev til klager 20.04.04 med frist for eventuelle merknader. Personvernnemnda har ikke mottatt ytterligere dokumenter eller henvendelser i saken.
3. Faktum
STAMI ønsker å gjennomføre studier i forskningsprosjektet “Eksponeringsrelatert forekomst av kreft og lungesykdommer blant ansatte i norsk silisiumkarbidindustri”. Formålet med studiet er å kartlegge forekomsten av lungefibrose blant tidligere og nåværende ansatte i silisiumkarbidindustrien i Norge og studere den mulig dose-respons-sammenhengen mellom fibrose og eksponering for forskjellige støvkomponenter i silisiumkarbidindustrien. Utvalget består av ca 2000 – 2500 personer. Prosjektet er delt inn i 5 delprosjekter. Det ble søkt om konsesjon for databehandling for fire av delprosjektene. For delprosjektene 1 og 2 søkte STAMI om vilkårfri konsesjon til å behandle sensitive dataopplysninger jf vilkårene i personopplysningsloven §§ 8 d) og 9 første ledd litra h. Det påklagede vedtak gjelder registerstudier hvor deltagerne ikke skal inngi nye opplysninger. Opplysningene hentes fra røntgenbilder, røykedata fra Kreftregisteret og bedriftshelsetjenesten, samt informasjon om jobbeksponering som hentes fra Kreftregisteret. Det er utarbeidet informasjonsskriv som er planlagt sendt ut til alle registrerte, og hvor det gis anledning til å reservere seg fra deltagelse i prosjektet.
Datatilsynets vedtak av 24.10.03 gir delvis avslag på konsesjonssøknad av 11.07.03. Datatilsynet fant å tildele konsesjon for prosjektets delstudier 1-3 og 5 med vilkår om at det innhentes et frivillig og utrykkelig informert samtykke. Vilkåret har kun betydning for delstudiene 1 og 2 da delstudie 3 er samtykkebasert og delstudie 5 kun omfatter døde personer. Prosjektet er en oppfølgingsundersøkelse som det er gitt tilslutning til fra Storting og Kommunal- og regionaldepartementet i henholdsvis Stortingsvedtak nr 78, 7.12.1999 og uttalelse av 23.8.2000. Det ble gitt tilsagn om midler til prosjektet i statsbudsjett 2000. Prosjektet er for øvrig finansiert med midler fra Norges forskningsråd, Sosial- og helsedepartementet, Næringslivets hovedorganisasjon og silisiumkarbidindustrien.
Prosjektet er vurdert og anbefalt av Regional etiske komiteer (Rek), og Norsk samfunnsvitenskaplig datatjeneste (NSD).
4. Anførslene
STAMI påklager Datatilsynets vedtak på grunn av feil lovanvendelse og skjønnsutøvelse, jf personopplysningslovens § 42, 4. ledd.
STAMI anfører at behandling av sensitive personopplysninger i delprosjektene 1 og 2 er tillatt etter personopplysningsloven § 9 første ledd litra h, og at det også vil innebære en oppfyllelse av § 8 litra d samt at det da ikke kan, skal eller bør oppstilles vilkår om samtykke i medhold av personopplysningsloven § 35 eller helseregisterloven § 5.
STAMI hevder at Datatilsynets praksis er langt strengere enn det loven og forarbeidene gir grunnlag for, og at Datatilsynet ikke forankrer egen praksis i lovtekst og forarbeider. STAMI anfører at Datatilsynet i utgangspunktet har en sterk skepsis til forskere, og spesielt medisinske forskere, og at forskeres behov for å søke om fritak fra samtykkekravet har noe suspekt over seg per se.
Det hevdes videre at Datatilsynet har unnlatt å foreta den brede interesseavveiningen som følger av personopplysningsloven § 9, 1.ledd litra h, og i stedet etablert en selvbestaltet hovedregel uten hjemmel i lov. STAMI argumenterer med at samfunnets interesse klart overstiger personverninteressene. Samfunnet har et stort behov for å få gjennomført eksponeringskartlegging. Dette underbygges ved at Stortinget har bedt Sosial- og helsedepartementet om å iverksette tiltak. Departementet har gitt oppgaven til STAMI og Kreftregisteret i samarbeid. Det er STAMIs oppfatning at registreringen ikke vil innebære en ulempe for den enkelte registrerte. Dataene foreligger i Kreftregisteret og i røntgenbilder og behandles på et overordnet gruppeanalysenivå. Datasikkerheten ivaretas gjennom at helsedata avidentifiseres og kodenøkkel oppbevares nedlåst. Forskningen vil kun innebære fordeler for de registrerte, for eksempel i form av muligheter for yrkesskadeerstatning etc. Ved påvisning av faktorer i arbeidsmiljøet som utløser sykdom vil man kunne iverksette målrettede, forebyggende tiltak. Det er utarbeidet informasjonsskriv som er planlagt sendt til alle registrerte. Den enkelte gis her mulighet til å reservere seg fra deltagelse i prosjektet. Personvernet for den enkelte er dermed i varetatt.
Prosjektet er anbefalt av Sosial- og helsedepartementet, Den regionale, etiske komité for medisinsk forskning og NSD. Datatilsynet samarbeider med disse organisasjonene, og bør derfor følge anbefalingene som er gitt.
STAMI viser til tidligere erfaring med spørreundersøkelser hvor svarprosent er mellom 40 og 50 %. Innhenting av aktivt samtykke vil derfor vesentlig forringe prosjektdeltagelsen og dermed gi ufullstendighet i dataene.
5. Datatilsynets vurdering
Datatilsynet legger til grunn at lovens hovedregel etter personopplysningsloven §§ 8 og 9 er samtykke. Det vises til helseregisterlovens § 5, 3.ledd hvor det uttales eksplisitt at samtykke fra den registrerte skal foreligge før opplysninger behandles. Behandling av sensitive data må hjemles i både personopplysningsloven §§ 8 og 9. Merknadene til personopplysningsloven § 9 må leses i sammenheng med merknadene til personopplysningsloven § 8. Av Ot.prp 1998-99 nr 92 side 108 fremgår det at samtykke skal være det primære behandlingsgrunnlag. Disse merknadene har også avgjørende betydning for tolkningen av personopplysningsloven § 9.
Datatilsynets praksis er relevant i forhold til hvordan lovverket skal fortolkes. Dette er et viktig forvaltningsrettslig prinsipp blant annet for å unngå usaklig forskjellsbehandling.
Datatilsynets primære oppgave er å ivareta individets personverninteresse blant annet gjennom å sikre at lover og forskrifter som gjelder for behandling av personopplysninger blir fulgt. Datatilsynet samarbeider med flere etater, men dette samarbeidet er ikke ensbetydende med at Datatilsynet alltid kommer til samme konklusjoner som disse. Det dreier seg om ulike etater og sammenslutninger som alle har ulike, men beslektede oppgaver. I enkelte tilfeller vil det være naturlig at man kommer til forskjellige løsninger nettopp fordi oppgavene er forskjellige, og at man tillegger de samme argumenter forskjellig vekt.
Datatilsynet ser at prosjektet er av interesse for samfunnet, men mener at støtte fra staten ikke er ensbetydende med at gjennomføringen av prosjektet oppfyller de krav som stilles i personopplysningsloven § 9 litra h. Det at gjennomføring av prosjektet er ønsket fra politisk hold er ikke avgjørende, da Storting og departement er henvist til å følge gjeldende rett. Datatilsynet er av den oppfatning at det forhold at den registrerte ikke selv aktivt å få bestemme hvorvidt man skal delta i et forskningsprosjekt i seg selv er en ulempe. I tillegg kommer ulempen ved å være objekt for et forskningsprosjekt. Et negativt samtykke, som STAMI legger opp til, vil kunne medføre et moralsk påtrykk, ved at mange vil synes det er vanskelig eksplisitt å avslå og være gjenstand for forskning. Informasjonsskrivet vil ikke kunne avhjelpe dette. Det er ikke av avgjørende betydning at den enkelte ikke blir direkte berørt av prosjektet. Dessuten kan det oppleves som illojalt at informasjon hentes fra bedriftslegen uten at man har gitt samtykke til dette. Datatilsynet mener at hensynet til den registrertes personvern overstiger samfunnets interesse. Datatilsynet ser heller ikke at en lavere deltagerprosent i prosjektet på grunn av innhenting av samtykke er ødeleggende for prosjektet, og finner ikke at dette alene er en grunn som kan medføre at samfunnets interesse klart overstiger hensynet til den enkeltes personvern – det må mer til.
6. Personvernnemndas vurderinger
6.1. Innledning
Etter personopplysningsloven § 11 litra a skal den behandlingsansvarlige sikre seg at behandlingen av personopplysninger er tillatt etter personopplysningsloven §§ 8 og 9. I dette tilfellet dreier det seg om sensitive personopplysninger, jfr personopplysningsloven § 2 nr 8 litra d. Behandlingen av slike opplysninger faller inn under personopplysningsloven § 9, behandlingen krever derfor konsesjon fra Datatilsynet, jfr personopplysningsloven § 33, 1.ledd. Personopplysningsloven § 9 angir rammene for Datatilsynets kompetanse til å gi konsesjon for behandlingen av sensitive opplysninger. Gjennom henvisningen fra personopplysningsloven § 9 til personopplysningsloven § 8, endrer også personopplysningsloven § 8 karakter i et slikt tilfelle fra å være en pliktnorm som direkte regulerer den behandlingsansvarliges plikter, til å bli en kompetansenorm som setter grenser for Datatilsynets adgang til å gi konsesjon.
Grunnkravet er at konsesjon bare kan gis når betingelsene i personopplysningsloven § 8 er oppfylt og dersom i tillegg minst ett av de ytterligere vilkårene i personopplysningsloven § 9, 1.ledd litra a-h er oppfylt.
Etter personopplysningsloven § 8 er det tre alternative grunnlag for å gjennomføre behandling av personopplysninger. Ett av disse er samtykke fra den registrerte (jfr personopplysningsloven § 2 nr 7), ett annet av disse er en ”nødvendighetsbegrunnelse” slik angitt i personopplysningsloven § 8 litra a-f. (Det tredje alternativet, lovhjemmel, er ikke aktuelt i denne saken.) Datatilsynet har understreket at hovedregelen er at behandlingen bygger på samtykke.STAMI fremhever personopplysningsloven § 8 litra d, som tillater at behandling av personopplysninger kan skje når behandlingen er nødvendig for ”å utføre en oppgave av allmenn interesse”. Det er i og for seg ikke omstridt at prosjektet har allmenn interesse, jfr Datatilsynets oversendelsesbrev pkt 5, første kulepunkt.
Selv om man finner at behandlingen av personopplysninger er tillatt etter personopplysnings-loven § 8, må – for å gi konsesjon – også ett av hensynene angitt i personopplysningsloven § 9, 1.ledd litra a-h være oppfylt. Ett av alternativene (personopplysningsloven § 9, 1.ledd litra a) er igjen at den registrerte har samtykket, et annet (personopplysningsloven § 9, 1.ledd litra h) at ”behandlingen er nødvendig for historiske, statistiske eller vitenskapelige formål, og samfunnets interesse i at behandlingen finner sted klart overstiger ulempene den kan medføre for den enkelte”.
Slik Personvernnemnda ser saken, må den først ta stilling til forholdet mellom samtykke og nødvendighetsbegrunnelse i personopplysningsloven § 8.
Bare dersom man finner at man i dette tilfellet kan bygge på nødvendighetsbegrunnelsen i personopplysningsloven § 8 litra d, kommer man til det andre spørsmålet, som da blir om samfunnets interesse i behandlingen av de aktuelle opplysningene klart overstiger ulempene behandlingen kan medføre for den registrerte etter personopplysningsloven § 9, 1.ledd litra h.
Personvernnemnda har vurdert hvorvidt personopplysningsloven § 9, 1.ledd litra g kan være aktuell. Men selv om man må anta at resultater av prosjektet i neste omgang kan ha betydning for forebyggende helsearbeid, kan man ikke se forebyggende helsearbeid som er formål med prosjektet. Det vil derfor være personopplysningsloven § 9, 1.ledd litra h som eventuelt kan begrunne at Datatilsynet har kompetanse til å gi konsesjon for behandling av de aktuelle opplysningene.
Personvernnemnda understreker
6.2. Forholdet mellom samtykke og nødvendighetsbegrunnelse
I personopplysningsloven § 8 er de tre alternativene (samtykke, lovhjemmel, nødvendighetsbegrunnelse) anført nærmest som likestilte. Situasjonen vil lett kunne være den at det, som i dette tilfellet, foreligger prinsipiell mulighet for å bygge på samtykke, men at den behandlingsansvarlige ønsker å bygge behandlingen på en av de angitte nødvendighetsbegrunnelsene. Som Datatilsynet fremhever i sitt oversendelsesbrev pkt 3, er lovbestemmelsen ikke utformet slik at ordlyden direkte gir veiledning for denne prioriteringen. Datatilsynet viser imidlertid til lovens forarbeider, særlig Ot prp 1998-99 nr 92 s 108, som fremhever at behandling av personopplysninger først og fremst skal basere seg på samtykke av den registrerte. Dette synet styrkes av helseregisterloven § 5, 1.-3.ledd:
”Helseopplysninger kan bare behandles elektronisk når dette er tillatt etter personopplysningsloven §§ 9 og 33, eller følger av lov og behandlingen ikke er forbudt ved annet særskilt rettsgrunnlag. Det samme gjelder annen behandling av helseopplysninger, dersom opplysningene inngår eller skal inngå i et helseregister.
Konsesjonsplikt etter personopplysningsloven § 33 gjelder ikke for behandling av helseopplysninger som skjer med hjemmel i forskrift etter §§ 6 til 8.
Før helseopplysninger innhentes for behandling etter første ledd, skal samtykke fra den registrerte foreligge, hvis ikke annet er bestemt i eller i medhold av lov.”
Det fremgår av helseregisterloven § 5, 3.ledd at samtykke ”skal” foreligge ”hvis ikke annet er bestemt i eller i medhold av lov”. Ettersom § 5, 1.ledd henviser til personopplysningsloven §§ 33 og 9, innebærer ikke dette et tilleggskrav om samtykke utover det som følger av personopplysningsloven. Det bidrar imidlertid til å understreke at prinsippet om at behandling av personopplysninger som hovedregel skal baseres på samtykke.
Det forhold at samtykke er hovedregelen, betyr imidlertid ikke at man ikke kan avvike fra dette prinsippet, og i stedet bygge på en av nødvendighetsbegrunnelsene i personopplysningsloven § 8. Det betyr imidlertid at alternativet med nødvendighetsbegrunnelser ikke er likestiltmed samtykke, slik at den behandlingsansvarlige står fritt til å velge en nødvendighetsbegrunnelse av rene hensiktsmessighetsbetraktninger fremfor å bygge på samtykke. På den annen side vil man i valget mellom samtykke og nødvendighetsgrunn ikke bare bygge på det rent prinsipielle og formelle syn at loven må forstås slik at samtykke skal prioriteres, man må også ta hensyn til de konkrete argumentene for å velge nødvendighetsbegrunnelsen, og hvor tungtveiende de er i den konkrete sak.
Samtykke må i personopplysningsloven ses i sammenheng med det syn at den enkelte skal kunne bestemme og kontrollere bruken av opplysninger om seg selv, og at denne muligheten anses å henge sammen med den enkeltes autonomi som borger i samfunnet, og å styrke den enkeltes mulighet til selv fritt å bestemme over sin egen situasjon. Personvernnemnda mener at dette er en endring i det grunnleggende syn på innholdet i personvern i forhold til det som lå til grunn for personregisterloven, og finner sin begrunnelse i den forståelse av personvernet som personverndirektivet bygger på, og som personopplysningsloven er den norske implementeringen av.
For at man skal kunne gjøre et avvik fra hovedprinsippet, må det derfor foreligge en begrunnelse. Denne begrunnelsen kan, som nevnt ovenfor, ikke bare være en ren hensiktsmessighetsbetraktning, f eks å unngå kostnader, spare tid eller lignende – selv om slike begrunnelser selvsagt også må vurderes konkret i forhold til den enkelte sak.
I nærværende sak finner Personvernnemnda at den påberopte begrunnelsen først og fremst er metodisk. Det anføres at hvis undersøkelsen skal basere seg på samtykke, tilsier tidligere erfaring med spørreundersøkelser at svarprosenten blir mellom 40 og 50 %. Dette anser man at vesentlig vil forringe verdien av undersøkelsen. Anførselen er altså at hvis prosjektet skal kunne realisere sin målsetning, vil dette forutsette at man kan bygge på en nødvendighetsbegrunnelse. Personvernnemnda finner ingen grunn til å trekke i tvil erfaringen med hensyn til svarprosenten, den synes å svare til erfaringer fra andre prosjekter som Nemndas medlemmer ellers er kjent med.
Personvernnemnda vurder det slik at man gjennom denne anførselen også trekker inn betydningen av prosjektets formål. Ettersom samtykke vil redusere muligheten for å realisere prosjektets formål, vil derfor avgjørelsen i en viss grad bero på vurderingen av det annet punkt, avveiningen mellom samfunnets interesser og ulempene for den enkelte, jfr nedenfor.
6.3. Avveiningen mellom samfunnets interesser og ulempene for den enkelte
Etter personopplysningsloven § 9, 1.ledd er det ikke tilstrekkelig at man finner å kunne bygge behandlingen av personopplysninger på nødvendighetsbegrunnelsen i personopplysningsloven § 8. I tillegg må en av de nevnte begrunnelsene i personopplysningsloven § 9, 1.ledd foreligge. Som nevnt ovenfor krever personopplysningsloven § 9, 1.ledd litra h at samfunnets interesse i at behandlingen finner sted klart overstiger ulempene den kan medføre for den enkelte. Det er altså ikke tilstrekkelig at samfunnets interesse overstiger ulempene for den enkelte, det kreves at dette overskuddet til fordel for samfunnets interesser fremstår som ”klart”. I Datatilsynets oversendelsesbrev (”Konklusjonen”) er det fremhevet at dette er understreket i kommentarer til personopplysningsloven § 9 i Ot prp nr 92 (1998-99), hvor det heter at det ”må være en klar overvekt i favør av de samfunnsmessige fordelene”.
Datatilsynet har i sitt oversendelsesbrev pkt 5, 2. kulepunkt anført at det må betraktes som en ulempe i seg selv ikke aktivt å få bestemme om hvorvidt man skal delta i et forskningsprosjekt. Dette er først og fremst en del av begrunnelsen for hvorfor alternativet ”samtykke” må gis prioritet i forhold til personopplysningsloven § 8.
I tillegg anfører Datatilsynet at det å være objekt for et forskningsprosjekt i seg selv er en ulempe. Personvernnemnda vil være forsiktig til helt generelt å slutte seg til seg til et slikt syn, men etter omstendighetene vil det kunne være en ulempe for den enkelte. Denne ulempen vil, etter Personvernnemndas syn være påvirket av hva slags opplysninger som utnyttes i prosjektet. I dette tilfellet er det lite sensitive opplysninger som utnyttes. Prosjektet har form av en registerstudie hvor den enkeltes identitet er pseudonymisert, noe man også antar at reduserer ulempene for den enkelte.
Nemnda legger også vekt på at de registrerte får adgang til å nekte deltakelse i prosjektet. Åpenbart tilfredsstiller ikke en slik negativ opsjon kravene til samtykke, men opplegget – slik det er angitt i søknaden – er likevel med på å styrke den registrertes personvern, og dermed redusere ulempene. Personvernnemnda legger vekt på at det i dette tilfellet ikke gjelder en aktiv innhenting av nye opplysninger, men en utnyttelse av opplysninger man allerede har tilgang til, og at det i denne situasjonen kan være noe mer nærliggende å bruke negativ opsjon.
Nemnda mener også at det har betydning i hvilken grad prosjektets formål sammenfaller med andre interesser enn personverninteresser man må anta at de personer som omfattes av prosjektet vil ha. I dette tilfellet er det et slikt sammenfall, prosjektet vil kunne bidra til forbedret arbeidsmiljø og helse for den gruppen med personer som omfattes – selv om dette bidraget ikke er sterkt nok til at man kan anse formålet å være forebyggende helsearbeid, jfr ovenfor.
Nemnda viser i denne sammenheng til klagesak 2002:06 (Klage på Datatilsynets vedtak i sak om delvis avslag på konsesjonssøknad fra Statens institutt for rusmiddelforskning (SIRUS)), hvor dette hensynet ble fremhevet av Nemndas flertall. Personvernnemnda nevner i denne sammenheng at når Datatilsynet fremhever betydningen av forvaltningspraksis for å sikre konsistens mellom vedtakene, så gjelder dette ikke minst Datatilsynets bruk av Personvernnemndas vedtak i klagesaker.
Datatilsynet har i oversendelsesbrev pkt 5, 1.kulepunkt fremhevet at Tilsynets kompetanse ikke begrenses av de vurderinger av prosjektet som fremkommer gjennom f eks stortingsvedtak nr 78 av 7.12.1999, jfr Stortingsmelding nr 4 (2000-2001). Datatilsynet har en plikt til å håndheve personopplysningsloven, og dermed en lovbestemt plikt til på selvstendig grunnlag å foreta den aktuelle interesseavveining. Dette selvfølgelige utgangspunktet hindrer imidlertid ikke at man i interesseavveiningen kan legge vekt på det syn som er kommet til uttrykk av Storting, departement eller andre organer.
Personvernnemnda ser det slik at forskning er ett av de formål som på mange måter står i en særstilling i personopplysningsloven. Man kan peke på flere bestemmelser, men kanskje særlig personopplysningsloven § 11, 2.ledd som angir at bruk av personopplysninger til ” historiske, statistiske eller vitenskapelige formål” aldri anses som uforenlig med det opprinnelige formål opplysningene er innsamlet til. I dette finner man at loven selv fremhever den samfunnsmessige nytten av den behandling av personopplysninger som skjer til forskningsformål.
Personvernnemnda legger vekt på at Den regionale, etiske komité for medisinsk forskning har gjort metodisk vurdering av prosjektet. Man legger også vekt på den positive vurderingen til Norsk samfunnsvitenskapelige datatjeneste. Nemnda har også i klagesak 2002:6 lagt vekt på vurderinger fra slike organer.
Etter en samlet vurdering kommer derfor Personvernnemnda til at samfunnets interesse i at behandlingen finner sted, i dette tilfellet klart overstiger ulempene behandlingen kan medføre for den enkelte.
Personvernnemnda understreker at avveiningen er skjedd helt konkret på grunnlag av de faktiske omstendigheter og særlige hensyn som fremkommer i denne saken.
7. Konklusjon
Etter dette kommer Personvernnemnda til at behandlingen av personopplysninger kan bygge på nødvendighetsbegrunnelsen i personopplysningsloven § 8 litra d, slik at det ikke er nødvendig å innhente samtykke fra den enkelte. Det forutsettes at den registrerte får informasjon om prosjektet, jfr personopplysningsloven § 20, og at den enkelte får adgang til å nekte deltakelse på grunn av informasjonstiltak som angitt i søknaden.
Personvernnemnda finner dessuten at samfunnets interesse i at behandlingen finner sted i dette tilfellet klart overstiger de ulemper behandlingen kan medføre for den enkelte. Betingelsene i personopplysningsloven § 9 litra h er derfor til stede. På dette grunnlaget har Datatilsynet etter personopplysningsloven § 33 adgang til å gi konsesjon.
8. Vedtak
Klagen tas til følge.
Saken sendes tilbake til Datatilsynet, som har kompetanse til å gi konsesjon for oppfølgningsprosjektet "Konsesjon for delstudie 1 og 2 – Statens Arbeidsmiljøinstitutt – STAMI", personopplysningsloven § 33, 1. ledd, 1. pkt, jfr personopplysningsloven § 9 sml personopplysningsloven § 8 litra d og personopplysningsloven § 9 litra h.
For Personvernnemnda
Jon Bing
Leder