PVN-2005-08 Kreftregisteret

Personvernnemndas avgjørelse av 9.8.2005 (Jon Bing, Gro Hillestad Thune, Mari Bø Haugstad, Tom Bolstad, Jostein Halgunset, Siv Bergit Pedersen, Lars Erik Fjørtoft)

1 Innledning

Personvernnemnda har ved oversendelse fra Datatilsynet mottatt klage fra Kreftregisteret på tilsynets vedtak av 1.11.2004. Klagen gjelder tilsynets vedtak om å gi konsesjon for to forskningsprosjekter, "Kreftrisiko blant ansatte i mineralullindustrien" og "Kreftrisiko blant ansatte i aluminiumsindustrien", på vilkår som innebærer delvis avslag på søknaden fra Kreftregisteret.

2 Saksgang

Kreftregistret søkte 30.12.2002 om forlenget konsesjon for til sammen 34 forskningsprosjekter innen miljø og kreft, deriblant to prosjekter som tar sikte på å klarlegge kreftrisiko blant ansatte i henholdsvis mineralullindustrien og aluminiumsindustrien (henholdsvis "Kreft mineralull" og "Kreft aluminium"). Sommeren 2003 skrev Datatilsynet en rekke brev til Kreftregisteret med spørsmål om nærmere informasjon om de ulike prosjektene. Det ble avtalt et møte mellom Datatilsynet og Kreftregisteret 6.10.2003 for å diskutere sakene. Møtet ble imidlertid avlyst grunnet forfall hos Datatilsynet. Datatilsynet avslo forespørsel om nytt møtetidspunkt med den begrunnelse at Kreftregisteret hadde nok informasjon til å besvare Datatilsynets brev.

Datatilsynet sendte 2.2.2004 - begrunnet i manglende svar fra Kreftregisteret - varsel om pålegg om sletting av data for 13 av de 34 forskningsprosjektene, deriblant de to prosjektene "Kreft mineralull" og "Kreft aluminium". Etter kontakt mellom partene ble svarfristen satt til 12.3.2004. Innen utløpet av fristen sendte Kreftregisteret ved sin advokat "foreløpig klage" på Datatilsynets avslag på søknad om konsesjoner og varsel om pålegg om sletting av data. I brev av 31.3.2004 ble saken utdypet med argumenter for at sensitive personopplysninger i de 13 prosjektene burde tillates uten innhenting av nye samtykker fra de registrerte. Hvert enkelt av de 13 prosjektene blir omtalt særskilt. Kreftregisteret ved sin advokat sendte 6.5.2004 nytt brev med nærmere opplysninger om den informasjon som var gitt til de registrerte, og hvilke samtykker som var innhentet fra dem i hvert av de 13 prosjektene.

Datatilsynet ga 1.11.2004 konsesjon til å behandle helseopplysninger i de to prosjektene "Kreft mineralull" og "Kreft aluminium", men på vilkår som innebærer delvis avslag på søknaden. For begge prosjektene gis tillatelse til å lagre opplysningene i inntil ett år under forutsetning av at de registrerte informeres om at opplysningene fortsatt er lagret, og at de gis anledning til å trekke seg fra videre deltakelse. For videre oppfølgingsundersøkelser stilles som betingelse at det innhentes aktivt, informert samtykke fra alle gjenlevende deltagere i prosjektet. Datatilsynet krever videre at prosjektene tilrås av Regional komité for medisinsk forskningsetikk. Hvis REK finner det utilrådelig å kontakte de registrerte på nytt, må de eksisterende personopplysningene anonymiseres eller slettes.

Kreftregisteret ved sin advokat sendte 24.11.2004 nytt brev til Datatilsynet med klage over konsesjonsvilkårene for fire prosjekter, deriblant "Kreft mineralull" og "Kreft aluminium". For de to øvrige prosjektene, "Kartlegging av kreftrisiko og årsaksspesifikk dødelighet blant ansatte i norsk offshorevirksomhet" og " Kreft og dødelighet ved silisiumkarbidverk i Norge", omgjorde Datatilsynet konsesjonsvilkårene etter klagen, og de nye konsesjonene ble oversendt Kreftregisteret i brev 24.1.2005 og 25.1.2005.

3 Faktum

Kreftregisteret er ett av seks sentrale helseregistre i Norge. Virksomheten er hjemlet i helseregisterloven § 8 og regulert i egen forskrift, kreftregisterforskriften (2001:1477), som i § 1-3, 1.ledd beskriver formålet med Kreftregisteret. I forskriftens pkt 1 og 2 (av fire) angis dette bl a som å

1. innsamle og innenfor forskriftens rammer behandle data om krefttilfeller og kreftundersøkelser i Norge for å kartlegge kreftsykdommers utbredning i landet og belyse endringer over tid,
2. drive, fremme og gi grunnlag for forskning for å utvikle ny viten om kreftsykdommenes årsaker, diagnose, naturlige forløp og behandlingseffekter for å fremme og utvikle kvaliteten på forebyggende tiltak og helsehjelp som tilbys eller ytes mot kreftsykdom, herunder følge opp enkeltpasienter og pasientgrupper

I kreftregisterforskriftens § 1-7 angis hvilke opplysninger Kreftregisteret kan behandle. I den utstrekning det er nødvendig for å nå formålet med registeret, kan Kreftregisteret uten samtykke registrere visse personopplysninger, administrative opplysninger og medisinske opplysninger om personer som har eller har hatt kreft, forstadier til kreft, eller godartede svulster i sentralnervesystemet. Hvis den registrerte, etter å ha fått informasjon om hvordan slike opplysninger behandles i Kreftregisteret, ikke motsetter seg det, kan registeret dessuten i henhold til forskriften inneholde opplysninger om den registrertes

• yrkesmessige forhold
• røykevaner
• eventuelt andre kjente risikofaktorer for kreft

Med hjemmel i kreftregisterforskriften har Kreftregisteret gjennomført en rekke undersøkelser med tanke på klarlegging av årsaksfaktorer ved ulike krefttilstander. Den økte kunnskap dette har medført, har dannet grunnlag for gjennomføring av kreftforebyggende tiltak.

I 1976 startet Kreftregisteret en serie undersøkelser med siktemål å klarlegge kreftrisiko forbundet med eksposisjon for mineralull. Det var på det tidspunktet kjent at eksposisjon for ulike former for naturlig forekommende fibrøse mineraler, som går under betegnelsen asbest, kunne medføre betydelig risiko for kreft i brysthinne og åndedrettsorganer. Bruken av asbest var derfor over tid blitt begrenset, og den er ytterligere redusert siden. I mange tilfelle har industrielt framstilte mineralske fibere overtatt innen bruksområder der man tidligere har anvendt asbest. De helsemessige konsekvensene av eksposisjon for mineralull var - og er fortsatt - lite kjent, en mangel Kreftregisterets undersøkelser har hatt til hensikt å avhjelpe.

Det opprinnelige prosjektet ble organisert med aktiv deltakelse av bedriftshelsetjenesten ved de aktuelle industribedriftene. Lister over 2361 ansatte med nærmere beskrivelse av arbeidsforhold, ble således etablert uten deltakelse fra de registrerte selv, og uten aktivt samtykke. Prosjektet ble startet før personregisterloven ble innført, og før Datatilsynet ble opprettet. Informasjon om undersøkelsen og om de funn som ble gjort, ble imidlertid formidlet til de registrerte som gruppe.

Hvilke variable som ble registrert, framgår ikke eksplisitt av de vedlagte papirer, men det er generelt angitt for slike undersøkelser at det vanligvis dreier seg om opplysning om navn, fødselsdato, yrkestittel, alder ved ansettelse, ansettelsesdato, eventuell sluttdato, antall år ansatt, samt data for eksponering (jf brev av 12.3.2004, pkt 4.2).

En slik gruppe av personer, som defineres på grunnlag av et felles kjennetegn, i dette tilfelle ved at de alle var ansatt ved en mineralullindustribedrift på et bestemt tidspunkt, kalles en kohort. Ved å følge disse personene over tid og registrere medisinske (eller andre) hendelser, kan man beregne den spesifikke risiko for at slike hendelser skal ramme medlemmer av kohorten. I det foreliggende tilfelle er det aktuelt å koble opplysninger om innrapporterte krefttilfelle eller melding om dødsfall og dødsårsak, til de aktuelle medlemmene av kohorten, og derved beregne kohortens kreftrisiko og dødsrisiko. Ved å sammenligne den beregnede risiko i kohorten med tilsvarende tall for en annen kohort, eller for (et utvalg av) bakgrunnspopulasjonen, kan man så beregne et relativt risikomål, som gir uttrykk for den økning (eller reduksjon) av risiko som kan antas å skyldes kohortens særlige egenskaper - i det foreliggende tilfelle betyr dette den risikoendring som henger sammen med eksposisjon for mineralull.

En svakhet ved kohortundersøkelser er at man starter med friske personer, og at man derfor ofte må følge mange personer over lang tid hvis man skal undersøke sjeldent forekommende begivenheter (det vil si sjeldne sykdommer, sykdommer som bruker lang tid på å utvikle seg osv). Slike undersøkelser kan derfor bli svært ressurskrevende. Særlig for å klarlegge årsaker til kreft må man ofte følge kohorten over lang tid, typisk over flere tiår.

En mer effektiv framgangsmåte i denne sammenheng er å ta utgangspunkt i en gruppe av syke, en gruppe pasienter. Man etablerer så en kontrollgruppe, helst på den måten at man til hver pasient finner en egnet kontrollperson, dvs en person med noenlunde samme individuelle kjennetegn (for eksempel alder, kjønn, bosted, sosialklasse og lignende), bortsett fra at vedkommende ikke er syk, og deretter kan man forsøke å finne om det er noe i fortida som systematisk skiller pasientene fra de friske kontrollene.

En slik undersøkelse ble gjennomført også for ansatte i mineralullindustrien. Datatilsynet ga 1.7.1992 konsesjon til et pilotprosjekt (det er vanskelig å lese ut av konsesjonstildelingen hva prosjektet egentlig går ut på, men det er beskrevet av Kreftregisterets advokat, jf brev av 31.3.2004 pkt 2.12.1 og brev av 24.11.2004 pkt 3.3) som omfattet de personer i den opprinnelige kohorten som var registrert i Kreftregisteret med lungekreft i 1992. Konsesjonen betinger skriftlig samtykke fra de registrerte, og det stilles krav om sletting av alle personopplysninger når prosjektet avsluttes. Imidlertid er ikke prosjektets varighet nærmere definert. Ved starten av undersøkelsen ble det sendt et informasjonsskriv til pårørende (ektefelle) av arbeidstakere som var døde av kreft. Mottaker av brevet ble invitert til å gi opplysninger om sin avdøde ektefelle i form av et intervju. Kreftregisteret antar at alle som møtte til intervju, ble informert muntlig om prosjektet i den forbindelse.

De første undersøkelsene av kreftrisiko i aluminiumsindustrien ble også gjennomført på 1970-tallet, men den foreliggende saken synes å knytte seg til kohortundersøkelser som ble startet på 1990-tallet. Kreftregisteret fikk konsesjon av Datatilsynet i 1994 og 1997 til å koble opplysninger om ansatte ved aluminiumsverk (1994: Høyanger, Årdal, Sunndal; 1997: Mosjøen) med Kreftregisteret (1994 og 1997) og Dødsårsaksregisteret (1997). Begge konsesjonene stiller som vilkår at analysefilen skal anonymiseres så snart koblingen er gjennomført. Konsesjonen fra 1994 angir eksplisitt at prosjektet skal avsluttes 31.12.2001 og at analysefilen deretter skal slettes. Konsesjonen fra 1997 angir at analysefilen skal slettes etter kobling med Dødsårsaksregisteret.

Kreftregisterets advokat opplyser i brev av 31.3.2004 pkt 2.13 at det i prosjektet per i dag foreligger opplysninger om ca 15 000 personer som er eller har vært ansatt ved et av aluminiumsverkene. Opplysningene er registrert på person, noe som er nødvendig for at eksposisjonsdata skal kunne kobles mot Kreftregisteret og Dødsårsaksregisteret. For disse prosjektene ble det ikke sendt særskilt informasjonsskriv til de registrerte. Kreftregisteret antar at de registrerte ble informert gjennom sine tillitsvalgte og ved allmøter i bedriften.

4 Anførslene

Kreftregisteret hevder at kohortundersøkelser som har tilhensikt å avsløre årsaker til kreft med nødvendighet må foregå over lang tid og med gjentatte oppfølginger, fordi dette følger av selve kreftsykdommens biologi, med utvikling som kan strekke seg over flere tiår. De opprinnelige prosjektene kan derfor ikke anses som avsluttet, og kravet om sletting av opplysningene kan heller ikke gjøres gjeldende.

Konsesjonen fra 1994 for prosjektet "Kreft aluminium" angir imidlertid eksplisitt at prosjektet skal avsluttes 31.12.2001, og at analysefilen deretter skal slettes.

Kreftregisterets hovedargument er at prosjektene kan hjemles i personopplysningsloven § 9, 1.ledd litra h, og at samtykke ikke er nødvendig fordi samfunnets interesse i at behandlingen finner sted klart overstiger ulempene for den enkelte.

Kreftregisteret anfører at hvis man skal måtte hente inn nytt individuelt informert samtykke, er det stor risiko for at man ikke klarer å spore opp en del av de registrerte etter så lang tid, og dessuten at enkelte (antallet er ikke estimert) ikke kommer til å svare selv om de får en forespørsel, fordi motivasjonen kan være mindre nå enn da de var i aktivt arbeid i industrien. Dette kan gjøre at det oppstår skjevheter i datamaterialet, som vil gjøre det vanskelig eller umulig å trekke korrekte slutninger.

5 Datatilsynets vurdering

Datatilsynet legger til grunn at de opprinnelige prosjektene er avsluttet, og at videre oppbevaring av data og nye koblinger må anses som ny behandling som skal vurderes på selvstendig grunnlag ut fra dagens lovgivning. Det at prosjektet ble startet opp under en annen rettssituasjon, kan ikke brukes til å legitimere en videre behandling av materialet i strid med de prinsipper som dagens lov bygger på.

Datatilsynet oppfatter dokumentasjonen av den informasjon som ble gitt til deltakerne på forhånd, som mangelfull, og vurderer det som ikke sannsynliggjort at deltakerne visste eller burde ha forstått at prosjektet ville få langvarig karakter. Dette tilsier at personverninteressene må tillegges stor vekt, og at det av den grunn ikke er tilstrekkelig klart at samfunnets interesser overstiger den enkeltes behov for personvern.

Datatilsynet aksepterer heller ikke argumentet om faren for et svekket utvalg hvis man skulle bli nødt til å hente inn nytt, eksplisitt samtykke. Datatilsynet anfører som et sterkt og nærmest ufravikelig prinsipp at deltakerne har krav på informasjon og gis mulighet til å trekke seg fra undersøkelsen.

6 Personvernnemndas vurderinger

Saken gjelder to prosjekter som tar sikte på å klarlegge kreftrisiko blant ansatte i henholdsvis mineralullindustrien og aluminiumsindustrien ("Kreft mineralull" og "Kreft aluminium"). Begge prosjektene har en forhistorie der de sentrale registrene har vært konsesjonert. Personvernnemnda velger, i likhet med Datatilsynet, å anse klagen som en helt ny søknad om konsesjon etter personopplysningsloven. Det vil si at man legger til grunn at de tidligere konsesjonsperiodene er utløpt, og at vilkårene i disse konsesjonene formelt ikke lenger er gjeldende. Selv om vilkårene ikke lenger er gjeldende, betyr imidlertid dette ikke at man ved behandlingen ikke kan ta hensyn til dem.

Saken er beslektet med tidligere klagesaker, jfr PVN 2004-01 STAMI, PVN 2004-02 "Helse- og stressreaksjoner hos oljearbeidere i Nordsjøen" - NTNU. Selv om vurderingen må være konkret i den enkelte sak (jf nedenfor), gir disse tidligere vedtakene likevel anvisning på de prinsipper som den konkrete vurdering bygger på.

Etter personopplysningsloven § 11 litra a skal den behandlingsansvarlige sikre seg at behandlingen av personopplysninger er tillatt etter personopplysningsloven §§ 8 og 9. I dette tilfellet dreier det seg om sensitive personopplysninger, jf personopplysningsloven § 2 nr 8 litra c. Behandlingen av slike opplysninger faller inn under personopplysningsloven § 9. Behandlingen krever derfor konsesjon fra Datatilsynet, jf personopplysningsloven § 33, 1.ledd. Personopplysningsloven § 9 angir rammene for Datatilsynets kompetanse til å gi konsesjon for behandlingen av sensitive opplysninger. Gjennom henvisningen fra personopplysningsloven § 9 til personopplysningsloven § 8, endrer også personopplysningsloven § 8 karakter i et slikt tilfelle fra å være en pliktnorm som direkte regulerer den behandlingsansvarliges plikter, til å bli en kompetansenorm som setter grenser for Datatilsynets adgang til å gi konsesjon.

Grunnkravet er at konsesjon bare kan gis når betingelsene i personopplysningsloven § 8 er oppfylt og dersom i tillegg minst ett av de ytterligere vilkårene i personopplysningsloven § 9, 1.ledd litra a-h er oppfylt.

Etter personopplysningsloven § 8 er det tre alternative grunnlag for å gjennomføre behandling av personopplysninger. Ett av disse er samtykke fra den registrerte (jfr personopplysningsloven § 2 nr 7). Om forholdet mellom samtykke og nødvendighetsbegrunnelse heter det i PVN 2004-01 STAMI:

"Det forhold at samtykke er hovedregelen, betyr imidlertid ikke at man ikke kan avvike fra dette prinsippet, og i stedet bygge på en av nødvendighetsbegrunnelsene i personopplysningsloven § 8. Det betyr imidlertid at alternativet med nødvendighetsbegrunnelser ikke er likestilt med samtykke, slik at den behandlingsansvarlige står fritt til å velge en nødvendighetsbegrunnelse av rene hensiktsmessighetsbetraktninger fremfor å bygge på samtykke. På den annen side vil man i valget mellom samtykke og nødvendighetsgrunn ikke bare bygge på det rent prinsipielle og formelle syn at loven må forstås slik at samtykke skal prioriteres, man må også ta hensyn til de konkrete argumentene for å velge nødvendighetsbegrunnelsen, og hvor tungtveiende de er i den konkrete sak …

For at man skal kunne gjøre et avvik fra hovedprinsippet, må det derfor foreligge en begrunnelse. Denne begrunnelsen kan, som nevnt ovenfor, ikke bare være en ren hensiktsmessighetsbetraktning, f eks å unngå kostnader, spare tid eller lignende - selv om slike begrunnelser selvsagt også må vurderes konkret i forhold til den enkelte sak.

I nærværende sak finner Personvernnemnda at den påberopte begrunnelsen først og fremst er metodisk."

I PVN 2004-01 STAMI var det metodiske argumentet knyttet til bortfall av deltakere ved innhenting av samtykke som ville vanskeliggjøre realisering av prosjektets formål. Ved vurdering av klagen fra Kreftregisteret legger Personvernnemnda til grunn at innhenting av samtykke vil kunne føre til frafall fra kohorten.

Et slikt frafall trenger ikke bety så mye hvis det er helt tilfeldig hvilke personer som faller fra. Hvis det er en skjevhet i hvem som ikke svarer, for eksempel ved at de som i mellomtiden er blitt rammet av sykdom har større tendens til ikke å svare positivt på henvendelsen, kan dette gjøre kohorten skjev og slå sterkt ut i resultatene som dermed blir uriktige og misvisende. Risikoen er særlig stor fordi det dreier seg om relativt sjeldne tilstander, der et frafall på noen få pasienter kan bety et stort relativt frafall. Denne typen feil har man ikke mulighet til å finne ut om foreligger, hvor stor den er eller hvilken vei den går. Bare muligheten for at en slik feil kan forekomme, kan gjøre at hele undersøkelsen blir verdiløs, og at prosjektet dermed må skrinlegges. Ut fra Datatilsynets kommentarer virker det ikke som dette poenget er tillagt vekt. Det kan virke som om tilsynet mener det bare er et spørsmål om antall personer som faller fra, jf oversendelsesbrevet s 5. Kreftregisteret burde nok imidlertid ha forklart forholdet bedre, og det kan derfor hevdes at Kreftregisteret ikke "har sannsynliggjort at faren for å få et utilstrekkelig utvalg gjør seg sterkere gjeldende i foreliggende saker enn i forskningsprosjekter for øvrig".

Personvernnemnda legger til grunn at man ved å basere seg på et samtykke vil risikere et frafall i kohorten som vil kunne redusere undersøkelsens verdi, i verste fall gjøre den verdiløs. Personvernnemnda mener derfor at man kan bygge på nødvendighetsbegrunnelsen i personopplysningsloven § 8 litra d som gir grunnlag for en behandling av personopplysninger som er nødvendig for å utføre en oppgave av allmenn interesse.

For at konsesjon skal kunne gis, må i tillegg ett av vilkårene i personopplysningsloven § 9, 1.ledd foreligge. I dette tilfellet er personopplysningsloven § 9, 1.ledd litra h det aktuelle alternativ, som forutsetter en interesseavveining hvor samfunnets interesse i behandlingen av opplysningene klart må overstige ulempene for den enkelte.

Personvernnemnda ser det slik at forskning er ett av de formål som på mange måter står i en særstilling i personopplysningsloven. Man kan peke på flere bestemmelser, men kanskje særlig personopplysningsloven § 11, 2.ledd som angir at bruk av personopplysninger til "historiske, statistiske eller vitenskapelige formål" aldri anses som uforenlig med det opprinnelige formål opplysningene er innsamlet til. I dette finner man at loven selv fremhever den samfunnsmessige nytten av den behandling av personopplysninger som skjer til forskningsformål. Personvernnemnda legger også vekt på at Kreftregisteret er etablert i henhold til lov, og at kreftregisterforskriften angir et formål for virksomheten som klart omfatter de aktuelle prosjektene, jfr forskriften § 1-3, 1.ledd nr 1 og 2 (jf ovenfor).

Ulempene for den registrerte er av generell art, først og fremst knyttet til at opplysninger om vedkommende er innlemmet i registeret. Personvernnemnda anser at samfunnets interesse i bedre å forstå og kunne forebygge kreft klart overstiger ulempene for den enkelte i dette tilfellet. Det vil også være i de registrertes interesse, både individuelt og som gruppe, at risikoen ved eksposisjon for mineralull og/eller aluminium kartlegges. De arbeiderne som eventuelt blir syke (eller pårørende til de som allerede er døde) kan reise krav om og bli tilkjent særlig økonomisk vederlag, i det sykdommen må oppfattes som yrkessykdom. Etter interesseavveining i personopplysningsloven § 9, 1.ledd litra h anser Personvernnemnda at behandlingen kan tillates.

Personvernnemnda peker på at det synes som om behovet for oppbevaring utover konsesjonsperioden var klart allerede da konsesjonen ble gitt. Det ville da vært naturlig å ha påklaget konsesjonens vilkår om sletting allerede på dette tidspunkt. Personvernnemnda anser det lite tilfredsstillende å få en klagesak når konsesjonens frister allerede er oversittet. I dette tilfellet representerer bruddet på vilkåret først og fremst en manglende sletting, og ikke i seg selv noen krenkelse utover dette av de registrertes personvern. I en overgangsperiode (fra personregisterloven til personopplysningsloven) anser Personvernnemnda det ikke nødvendig å reagere strengt på slike formelle krenkelser av konsesjonsvilkårene, men vil tydelig understreke at dette er et unntak. Klage må fremmes i forbindelse med det vedtak klager mener ikke er tilfredsstillende straks dette er klart for klager.

For et sentralt forskningsmiljø som Kreftregisteret påligger det en ekstra plikt til å bidra til at avvikende vurderinger avklares på et så tidlig tidspunkt som mulig, og også redegjøre for forholdene slik at det faktiske grunnlaget fremstår så klart som mulig for de organ som skal foreta vurderingene, og som ikke har den faglige bakgrunn som Kreftregisteret kan bygge på.

7 Vedtak

Klagen tas til følge.

Saken sendes tilbake til Datatilsynet, som har kompetanse til å gi konsesjon for prosjektene "Kreftrisiko blant ansatte i mineralullindustrien" og "Kreftrisiko blant ansatte i aluminiumsindustrien", jf personopplysningsloven § 33, 1.ledd, 1.pkt, jf personopplysningsloven § 9 sml personopplysningsloven § 8 litra d og personopplysningsloven § 9 litra h.

Oslo 3.10. 2005
 
Jon Bing
Leder