Personvernnemndas avgjørelse av 20.09.04 (Jon Bing, Gro Hillestad Thune, Per Anders Stalheim, Hanne Bjurstrøm, Dag Elgesem, Siv Bergit Pedersen, Sidsel Rogde).
1. Innledning
Personvernnemnda har ved oversendelse fra Datatilsynet mottatt klage på Datatilsynets vedtak av 11.03.2004. Saken gjelder konsesjon for fortsatt lagring av opplysninger fra prosjektet «Helse- og stressreaksjoner hos oljearbeidere i Nordsjøen» for bruk i oppfølgingsstudie uten innhenting av frivillig og utrykkelig informert samtykke.
2. Saksgang
Datatilsynet mottok 13.01.2004 konsesjonssøknad fra Norsk samfunnsvitenskaplig datatjeneste AS (NSD) på vegne av NTNU Institutt for nevromedisin og bevegelse ved prosjektleder Are Holen om fortsatt lagring av opplysninger fra prosjektet «Helse- og stressreaksjoner hos oljearbeidere i Nordsjøen» for bruk i oppfølgingsstudie uten innhenting av frivillig og utrykkelig informert samtykke. Datatilsynet fattet vedtak i brev av 11.3.2004 hvor det gis delvis avslag på konsesjonssøknaden. Prosjektleder påklaget vedtaket i brev av 31.3.2004. NSD har skrevet et støtteskriv til klagen i brev av 31.3.2004. Klagesaken ble oversendt Personvernnemnda 21.4.2004 (Ved en inkurie er datoen angitt til 21.4.2003). Klager oversendte tilleggsdokumentasjon til Datatilsynet i brev av 6.5.2004. Personvernnemnda mottok tilleggsdokumentasjonen fra klager med Datatilsynets kommentarer i brev av 4.6.2004. Personvernnemnda ga i brev av 8.6.2004 klager tillatelse til fortsatt lagring frem til vedtak foreligger.
3. Faktum
Etter Alexander Kielland-ulykken (27.03.1980) ble det i perioden 1984-85 gjennomført en undersøkelse blant de overlevende; «Helse- og stressreaksjoner hos norske oljearbeidere i Nordsjøen». Undersøkelsen var basert på muntlig samtykke fra de overlevende og skriftlig samtykke fra kontrollgruppen. Det ble ikke gitt informasjon eller innhentet samtykke fra utvalget av de overlevende for langtidslagring med tanke på en oppfølgingsundersøkelse. For kontrollgruppen ble det gitt skriftlig samtykke med tillatelse til å bruke opplysningene i forskning. Samtykket og informasjonen som ble gitt oppfyller ikke kravene etter personopplysningsloven. Totalt omfattet utvalget 167 personer, 75 norske overlevende og 92 i kontrollgruppen. Opplysningene ble samlet inn gjennom intervju, spørreskjema og trygdedata. Det ble innhentet opplysninger om blant annet demografiske data, familie, barn og samliv, arbeidssituasjonen, livshendelser, helse, stimulatia, psykiske symptomer, personlighet og trygdedata (sykmeldinger, hospitalisering, eventuelt tidspunkt for uføretrygd eller dødsfall). Prosjektleder oppbevarer kun avidentifiserbare data. Et tresifret ID-nummer blir benyttet til pseudonym identifikasjon, og listen som knytter sammen ID-nummer og person oppbevares i bankboks som disponeres av NSD.
Det er gjentatte ganger søkt om konsesjon for videre lagring fordi man ønsket å foreta en oppfølgingsundersøkelse, siste konsesjon var gitt etter personregisterloven § 9 med gyldighet frem til 31.12.2002.
Formålet med konsesjonssøknaden av 13.01.2004 er å sikre fortsatt tillatelse til videre lagring av data fra undersøkelsen foretatt i 1984-85, for å gjennomføre en oppfølgingsstudie hvor man får en langtidsoppfølging av norske overlevende fra «Alexander Kielland»-katastrofen, herunder studere helseutviklingen i livsløpet for de to populasjonene. Oppfølgingsundersøkelsen forventes igangsatt innen utløpet av 2005. Prosjektet er vurdert og anbefalt av NSD.
Datatilsynets vedtak av 11.3.2004 gir delvis avslag på konsesjonssøknad av 13.1.2004. Datatilsynet gir konsesjon til fortsatt lagring av personopplysningene fra prosjektet under forutsetning av at det innen 1.6.2004 innhentes skriftlig samtykke fra den registrerte til fortsatt lagring av opplysningene for bruk i oppfølgingsundersøkelser og kontakt i denne sammenheng. Konsesjonen er tidsbegrenset til 31.12.2005 og gjelder kun lagring av personidentifiserbare data i påvente av eventuell oppfølgingsundersøkelse. Klager ønsker først å innhente samtykke i forbindelse med igangsettingen av oppfølgingsundersøkelsen, og at konsesjonen gis for et lengre tidsrom med mulighet for forlengelse.
4. Anførslene
Prinsipalt anfører klager at det ikke blir satt vilkår om innehenting av skriftlig samtykke uten kobling til ny oppfølgingsundersøkelse. Klager mener at Datatilsynet ikke har lagt tilstrekkelig vekt på verdien av å respektere privatlivets fred, samt på de mer allmenne og samfunnsnyttige sider ved Kielland-undersøkelsene som vitenskaplig prosjekt. Dessuten har Datatilsynet ved gjentatte ganger å gi konsesjon til fortsatt lagring av dataene etablert en praksis som også må gjelde i dag.
Klager anfører at prosjektet har stor allmenninteresse og samfunnsinteresse fordi Norge som oljenasjon har et særlig ansvar for å sikre kunnskaper om følger for helsen blant dem som har arbeidet på oljeinstallasjoner. Kunnskapene må også omfatte langtidseffektene av alvorlige ulykker og katastrofer. Endringer i det internasjonale terrorbildet har gitt alvorlige hendelser på oljeinstallasjoner fornyet aktualitet.
Langtidsstudier av katastrofepopulasjoner er få, både nasjonalt og internasjonalt, og enda færre undersøkelser har tatt utgangspunkt i ulykker eller katastrofer fra maritime miljøer eller offshorevirksomhet.
Antall personer som inngår i en undersøkelse spiller alltid en stor rolle for styrken av de vitenskaplige konklusjoner som trekkes. Det er derfor viktig å sikre størst mulig deltakelse. Det finnes ingen mulighet til å øke størrelsen på katastrofepopulasjoner, og det er lenge mellom hver gang alvorlige hendelser berører et stort nok antall personer til å muliggjøre longitudinelle katastrofestudier. En vesentlig ulempe ved innhenting av skriftlig samtykke uten kobling til en oppfølgingsstudie er at det kan gi et høyt tilfeldig frafall. Forespørselen får neppe den samme interesse som en oppfølgingsstudie. At årsakene til innhenting av samtykke skyldes endringer i lovverket, synes vanskelig å forklare de overlevende, basert på tilfeldige samtaler prosjektleder har hatt. Siden forrige undersøkelse er et uvisst antall registrerte døde. Derfor er det viktig å velge fremgangsmåter hvor tilfeldigheter ikke i unødig grad får redusere videre antallet med registrert samtykke.
NSD anfører på vegne av klager at personopplysningsloven åpner for at personidentifiserbare forskningsdata kan lagres for blant annet vitenskaplige formål dersom samfunnets interesse i at opplysningene lagres klart overstiger de ulempene det kan medføre for den enkelte. Prosjektleder har på en god måte beskrevet samfunnsnytten ved prosjektet. Datamaterialet fra de to populasjonene er sjeldent og et viktig undersøkelsesgrunnlag til å belyse langtidseffekter av alvorlige livstruende hendelser eller katastrofer. Samfunnets interesse i datamaterialet anses som stor da resultatene av forskningen vil kunne gi et ganske unikt og longitudinelt bilde av hverdagen og livet til overlevende og pårørende fra Alexander Kielland- ulykken og tilsvarende alvorlige hendelser og katastrofer. NSD mener det er en risiko for at de som ellers ville samtykket til videre deltakelse og oppbevaring av data av ulike grunner ikke gir sitt samtykke til lagring i en overgangsperiode fordi dette virker fjernere og mindre relevant enn direkte deltagelse. Populasjonene kan dermed bli reduserte, og de vitenskaplige analysenes verdi forringes. Populasjonene er i utgangspunktet ikke store, og analysegrunnlaget er derfor sårbart ved mulig større frafall. Personvernet for den enkelte er godt ivaretatt da data oppbevares pseudonymisert, og listen som kobler navn og ID-nummer er oppbevart i bankboks som disponeres av NSD.
Subsidiært anfører klager at det gis en tidsfrist på minimum et halvår for innhenting av skriftlig samtykke fra tidspunktet for vedtaket. Dette begrunnes i at det må foreligge tilsagn om finansiering, og at det kan ta lang tid å finne frem til de registrerte, samt at undersøkelsesmateriale mv må foreligge. Det anførers også at konsesjonen for lagring kan forlenges etter søknad. Dette også grunnet uvissheten vedrørende finansiering og oppstart av prosjektet.
5. Datatilsynets vurdering
Datatilsynet har vurdert prosjektet etter personopplysningsloven §§ 8 og 9. I vurderingen er det særlig lagt vekt på at prosjektet i utgangspunktet var samtykkebasert, og at prosjektleder synes å legge til grunn at også eventuelle oppfølgingsprosjekter skal basere seg på samtykke. Det er Datatilsynets oppfatning at det skal mye til for å begrunne at behandlinger som i utgangspunktet (etter gammel lov) hadde sitt grunnlag i samtykke, ved innføring av ny lov skal overføres til et annet behandlingsgrunnlag. Dette kan fremstå som illojalt i forhold til den som i første omgang samtykket til deltagelse i prosjektet.
Samtykke gitt ved prosjektstart er ikke tilstrekkelige etter dagens lovverk, og det antas derfor at de registrerte ikke har mottatt informasjon om prosjektet i henhold til personopplysningslovens regler. Å gi tillatelse til lagring av opplysningene som ikke er basert på samtykke vil i realiteten innebære at man fratar de registrerte rettigheter de elles ville ha hatt etter personopplysningsloven. Datatilsynet antar at de fleste registrerte tror at opplysningene om dem er slettet eller anonymisert fordi det er gått så lang tid siden undersøkelsen ble gjennomført. Datatilsynet mener derfor at de således er avskåret fra å utøve sine rettigheter med hensyn til innsyn osv. Datatilsynet ser dette som en begrunnelse for at det er rimelig at det gjøres en ny henvendelse til de registrerte, og at nytt samtykke som oppfyller kravene i personopplysningsloven innhentes.
Datatilsynet har lagt vekt på at lagringstiden for de innsamlede opplysningene er forlenget gjentatte ganger, og at prosjektleder hver gang har fremholdt at et oppfølgingsprosjekt var nært forestående. Datatilsynet er derfor i tvil om oppfølgingsundersøkelse vil bli igangsatt innen utløpet av 2005. Datatilsynet stiller seg også tvilende til om prosjektleder ville fått konsesjon til forlenget lagringstid dersom det reelle tidsforløp før et oppfølgingsprosjekt ble igangsatt, var oppgitt i den første søknaden om lagring.
Gruppen registrerte er relativt liten, derfor vil det ikke medføre mye merarbeid å kontakte dem nå. Datatilsynet legger derfor ikke vekt på klagers anførsler om at det er merarbeid å kontakte de registrerte før en oppfølgingsundersøkelse. Datatilsynet legger heller ikke vekt på klagers argumentasjon om unødig tilfeldig frafall fordi en oppfølgingsundersøkelse burde vært igangsatt for lang tid tilbake. Datatilsynet mener at faren for at noen av de registrerte nå vil være døde tilsier at samtykke innhentes så snart som mulig, og at faren for frafall pga død øker jo lengre man venter.
Datatilsynet er uenig med klager i at fortsatt lagring av opplysningene har behandlingsgrunnlag i personopplysningslovens § 8 litra d og 9, 1.ledd litra h. Dersom Datatilsynet skulle legge prosjektleders vurdering av allmenn interesse og samfunnsnytte til grunn, ville konsekvensen bli at knapt noe forskningsprosjekt ikke oppfylte vilkårene. Datatilsynet anser at prosjektet relaterer seg til en liten gruppe, og at resultatene kun vil ha betydning for en relativ begrenset gruppe (andre som senere blir utsatt for lignede ulykker). Det er videre lagt vekt på at det har vært en stor utvikling innen både redningsmetoder og utstyr siden 1980, slik at resultatene nå vil være mindre oppdaterte. Av klagers vurdering av allmenn interesse vises det til at det ikke er foretatt forskningsprosjekter i etterkant av lignende katastrofer. Etter Datatilsynets oppfatning kan mangelen på lignende undersøkelser like gjerne tas til inntekt for at denne typen undersøkelser ikke har tilstrekkelige allmenn interesse. Dessuten vil det dessverre også senere oppstå katastrofer som kan egne seg for forskning innen samme område, og hvor forskningen kan foretas i tråd med personopplysningsloven.
Datatilsynet har i vurderingen av hvorvidt konsesjon skal gis også lagt vekt på at reglene for tidligere konsesjon er brutt, ved at konsesjonssøknaden er kommet etter at overgangsordningene etter personopplysningsloven er løpt ut.
6. Personvernnemndas vurderinger
6.1. Innledning
Etter personopplysningsloven § 11 litra a skal den behandlingsansvarlige sikre seg at behandlingen av personopplysninger er tillatt etter personopplysningsloven §§ 8 og 9. I dette tilfellet dreier det seg om sensitive personopplysninger, jfr personopplysningsloven § 2 nr 8 litra d. Behandlingen av slike opplysninger faller inn under personopplysningsloven § 9, behandlingen krever derfor konsesjon fra Datatilsynet, jfr personopplysningsloven § 33, 1.ledd. Personopplysningsloven § 9 angir rammene for Datatilsynets kompetanse til å gi konsesjon for behandlingen av sensitive opplysninger. Gjennom henvisningen fra personopplysningsloven § 9 til personopplysningsloven § 8, endrer også personopplysningsloven § 8 karakter i et slikt tilfelle fra å være en pliktnorm som direkte regulerer den behandlingsansvarliges plikter, til å bli en kompetansenorm som setter grenser for Datatilsynets adgang til å gi konsesjon.
Grunnkravet er at konsesjon bare kan gis når betingelsene i personopplysningsloven § 8 er oppfylt og dersom i tillegg minst ett av de ytterligere vilkårene i personopplysningsloven § 9, 1.ledd litra a-h er oppfylt.
Etter personopplysningsloven § 8 er det tre alternative grunnlag for å gjennomføre behandling av personopplysninger. Ett av disse er samtykke fra den registrerte (jfr personopplysningsloven § 2 nr 7). ett annet av disse er en «nødvendighetsbegrunnelse» slik angitt i personopplysningsloven § 8 litra a-f. (Det tredje alternativet, lovhjemmel, er ikke aktuelt i denne saken.) Datatilsynet har understreket at hovedregelen er at behandlingen bygger på samtykke.
6.2. Forholdet mellom samtykke og nødvendighetsbegrunnelse
Personvernnemnda har i ankesak 01-2004 STAMI diskutert forholdet mellom alternativene samtykke og nødvendighetsbegrunnelse i personopplysningsloven § 8. I den aktuelle saken bygger det opprinnelige prosjekt på samtykke. Prosjektansvarlig har også, riktignok subsidiært, funnet at oppfølgingsstudien kan baseres på samtykke. Datatilsynet mener at slikt samtykke bør innhentes så raskt som mulig, uavhengig av tidspunktet for igangsettelsen av oppfølgingsstudien. Prosjektansvarlige ønsker å innhente samtykket så nær opptil igangsettelsen som mulig, men innen en frist på seks måneder fra et eventuelt vedtak som tillater dette.
Datatilsynet synes å begrunne sitt syn med å påpeke at det samtykke som opprinnelig ble gitt, ikke tilfredsstiller kravene etter personopplysningsloven. Fortsatt lagring uten samtykke anser man at fratar de registrerte rettigheter de elles ville ha hatt etter personopplysningsloven.
Det nevnes her innsynsrett, imidlertid har den registrerte etter personopplysningsloven § 18 ikke full innsynsrett dersom personopplysningene behandles utelukkende for vitenskapelige formål. Man har bare den generelle innsynsretten etter personopplysningsloven § 18, 1.ledd, som tilkommer enhver, uavhengig av hvorvidt det behandles opplysninger om en selv. Det synes derfor ikke som om hensynet til utøvelse av innsynsrett er relevant i denne saken.
Det kan diskuteres om lovendringen utløser en informasjonsplikt etter personopplysningsloven § 19. Imidlertid var det opprinnelige prosjekt basert på samtykke. Selv om dette ikke tilfredsstiller krav til samtykke etter personopplysningsloven, må man kunne gå ut fra at det er tilført den registrerte tilstrekkelige opplysninger til at personopplysningsloven § 19, 2.ledd kommer til anvendelse, og at lovendringen i seg selv derfor ikke utløser noe krav til informasjon.
Etter dette er Personvernnemnda kommet til at fortsatt lagring av opplysningene i seg selv ikke i stor grad svekker de registrertes personverninteresser. Det legges her bl a vekt på at opplysningene oppbevares pseudonymisert, og at nøklene for identifikasjon er tilfredsstillende sikret ved at NSD disponerer disse. Personvernnemnda slutter seg imidlertid til Datatilsynet i den vurdering at et oppfølgingsprosjekt krever nytt samtykke som tilfredsstiller kravene i personopplysningsloven.
Personvernnemnda går inn for at det tillates en ytterligere lagring av opplysningene i seks måneder regnet fra vedtaket. Personvernnemnda forutsetter at behandling av personopplysninger for oppfølgingsprosjektet bygger på samtykke fra de registrerte, som tilfredsstiller kravene i personopplysningsloven. Når det gjelder tidspunktet for innhenting av slikt samtykke, mener Personvernnemnda at dette i tid bør ligge nær den nye behandlingen slik at konsekvensene av samtykke fremstår som mest mulig aktuelle og reelle for den registrerte. Personvernnemnda slutter seg derfor i så måte til den prosjektansvarliges syn.
6.3. Avveiningen mellom samfunnets interesser og ulempene for den enkelte
Etter personopplysningsloven § 9, 1.ledd er det ikke tilstrekkelig at man finner å kunne bygge behandlingen av personopplysninger på nødvendighetsbegrunnelsen i personopplysningsloven § 8. I tillegg må en av de nevnte begrunnelsene i personopplysningsloven § 9, 1.ledd foreligge. Personopplysningsloven § 9, 1.ledd litra h at samfunnets interesse i at behandlingen finner sted klart overstiger ulempene den kan medføre for den enkelte. I klagesak 02-2004 STAMI har Personvernnemnda gått nærmere inn på tolkningen av loven på dette punkt.
I dette konkrete tilfelle legger Personvernnemnda vekt på de argumenter som den prosjektansvarlige med tilslutning fra NSD har fremmet. Det er åpenbart at Alexander Kielland-katastrofen gir et unikt materiale som det vil ha betydning av å utnytte for å vinne innsikt i den virkning slike ulykker vil kunne ha på enkeltpersoner.
Datatilsynet har fremmet kritiske synspunkter på den faglige vurderingen. Personvernnemnda finner grunn til å anføre at om man ønsket en vurdering av den faglige begrunnelsen av andre enn søker, ville det vært naturlig å søke råd hos en uavhengig faglig instans. Et forvaltningsorgan uten faglig kompetanse på området må være tilbakeholden med å fremme synspunkter på fritt grunnlag uten å sikre at de er faglig holdbare. Personvernnemnda føler seg ikke overbevist om at de kritiske momentene Datatilsynet her fremmer, er faglig holdbare. Dette gjelder f eks at Datatilsynet legger vekt på at det er skjedd en utvikling innen både redningsmetoder og utstyr siden 1980. Personvernnemnda ser ikke at dette berører oppfølgingsstudiens verdi.
Personvernnemnda understreker at avveiningen er skjedd helt konkret på grunnlag av de faktiske omstendigheter og særlige hensyn som fremkommer i denne saken.
6.4. Brudd på konsesjonsvilkår
Datatilsynet har i vurderingen om konsesjon skal gis også lagt vekt på at reglene for tidligere konsesjon er brutt, ved at konsesjonssøknaden er kommet etter at overgangsordningene etter personopplysningsloven er løpt ut, det siktes her til personopplysningsloven § 51 nr 1 som har frister for melding til Datatilsynet. Den aktuelle behandlingen er konsesjonspliktig etter personopplysningsloven § 33, og det fremgår da av personopplysningsloven § 51 nr 1 at det skal sendes melding til Datatilsynet i henhold til denne bestemmelsen innen ett år etter lovens ikrafttredelse. Når dette ikke gjøres, åpnes det for straffesanksjoner etter personopplysningsloven § 48, 1.ledd litra b.
Personvernnemnda anser det som viktig at man følger opp personopplysningslovens bestemmelser med sanksjoner der man anser dette påkrevd. Men sanksjonene må selvsagt være hjemlet i loven. Man kan ikke godta at det innføres andre sanksjoner enn dem som følger av loven. Datatilsynet har derfor ikke anledning til å legge vekt på at reglene for tidligere konsesjon er brutt som i dette tilfellet ved vurderingen av ny konsesjon. Mener Datatilsynet at bruddet krever en sanksjon, kan bruddet anmeldes til påtalemyndighetene under henvisning til straffehjemmelen.
7. Konklusjon
Etter dette kommer Personvernnemnda til at lagring av personopplysningene kan tillates inntil seks måneder fra vedtakets dato. Før oppfølgingsprosjektet igangsettes, må samtykke som tilfredsstiller personopplysningsloven innhentes, jfr personopplysningsloven § 8. Dette samtykket kan innhentes når det anses hensiktsmessig i forhold til oppfølgingsprosjektet.
Personvernnemnda finner at samfunnets interesse i at behandlingen finner sted i dette tilfellet klart overstiger de ulemper behandlingen kan medføre for den enkelte. Betingelsene i personopplysningsloven § 9 litra h er derfor til stede. På dette grunnlaget har Datatilsynet etter personopplysningsloven § 33 adgang til å gi konsesjon.
8. Vedtak
Klagen tas til følge.
Saken sendes tilbake til Datatilsynet, som har kompetanse til å gi konsesjon for lagring og behandling for "Helse- og stressreaksjoner hos oljearbeidere i Nordsjøen", personopplysningsloven § 33, 1.ledd, 1.pkt, jfr personopplysningsloven § 9 sml personopplysningsloven § 8 litra d og personopplysningsloven § 9 litra h.
For Personvernnemnda
Jon Bing
Leder