Personvernnemndas avgjørelse av 26. august 2009 (Eva I. E. Jarbekk, Arve Føyen, Tom Bolstad, Leikny Øgrim, Ann Rudinow Sætnan, Jostein Halgunset, Ørnulf Rasmussen)
1 Innledning
Personvernnemnda har ved oversendelse fra Datatilsynet mottatt klage på tilsynets vilkår i konsesjon av 12.1.2009.
2 Saksgang
Datatilsynet mottok 15.8.2008 søknad om konsesjon i forbindelse med forskningsprosjektet ”Insidens av ulike typer kreft etter levertransplantasjoner – en nordisk samarbeidsstudie”. Søknaden gjaldt konsesjon til kobling av data for omtrent 500 personer fra Nordic Liver Transplant Registry (Scandiatransplant) mot Kreftregisteret for å undersøke om levertransplanterte pasienter har økt forekomst av kreft. Scandiatransplant er det felles nordiske ventelisteregisteret for transplantasjon. Videre bruk av opplysningene til forskning ble opplyst å være basert på samtykke.
Datatilsynet fant søknaden mangelfull og mottok etter henvendelse ytterligere dokumentasjon i e-poster av 19.11.2008, 9.12.2008 og 9.1.2009.
Datatilsynet ga konsesjon 12.1.2009. Konsesjon ble gitt under forutsetning av at det ble innhentet nye, gyldige samtykker fra de registrerte som er i live, samt at Helsedirektoratet ga dispensasjon fra taushetsplikt for de avdøde. Samtykkene som var avgitt ved registrering ble ansett som ugyldige.
Personvernnemnda mottok saken fra Datatilsynet 20.3.2009. Klager ble orientert om dette i brev fra nemnda 26.3.2009, med frist til uttalelse innen 15.4.2009. Nemnda mottok brev fra Rikshospitalet datert 2.4.2009 med syv vedlegg.
Personvernnemnda startet behandlingen av saken i møte 6.5.2009. Nemnda kom til at den ville ha mer informasjon i saken og tilskrev Rikshospitalet i e-post datert 27.5.2009. Rikshospitalet besvarte Personvernnemndas henvendelse ved brev datert samme dag, 27.5.2009, med åtte vedlegg.
3 Faktum
Rikshospitalet har søkt om konsesjon for å gjennomføre en kobling mot Kreftregisteret for å undersøke om levertransplanterte pasienter har økt forekomst av kreft. Opplysningene skal hentes fra Scandiatransplant og kobles med Kreftregisteret. Datatilsynet ga konsesjon, men med forutsetning om at det blir innhentet samtykke fra alle registrerte pasienter med samtykkekompetanse.
4 Klagers anførsler
Klager ber om konsesjon uten pålegg om innhenting av nye pasientsamtykker, men med godkjenning av samtykkene som hittil har vært brukt.
Klager søkte i 2007 om godkjenning av innsamling og databehandling av personopplysninger i Norsk levertransplantasjonsregister. Personvernombudet ved Rikshospitalet vurderte at den planlagte databehandlingen falt inn under sykehusets pasientjournal og uttrykte at ”Pasientene samtykker til at registrerte data kan benyttes til forskning relatert til levertransplantasjon. Slike fremtidige forskningsstudier må meldes til personvernombudet, men det må ikke innhentes samtykke så lenge formålet dekkes av det opprinnelige samtykke”. Alle opplysningene som skal benyttes i prosjektet er basert på utdrag fra pasientens journal ved Rikshospitalet.
Klager kan ikke se at pasientene har vært under press da de underskrev samtykkeerklæringen. Det vises til informasjonsskriv og samtykkeskjema. Det finnes totalt fire forskjellige samtykkeskjemaer, datert 15.2.2007, 28.3.2007, 11.9.2008 og 22.12.2008.
Skjema datert 15.2.2007 ble tatt i bruk etter godkjenning av Personvernombudet ved Rikshospitalet. Skjemaet ble gitt alle pasienter som skal meldes på venteliste for transplantasjon, sammen med samtykkeerklæringen (en separat samtykkeerklæring med stiplet linje for underskrift fra pasient og lege) som hele tiden har vært uendret.
Skjema datert 28.3.2007 har samme ordlyd som skjema datert 15.2.2007, bortsett fra første setning som lyder ”I forbindelse med at du nå kommer til kontroll …”. Skjemaet ble gitt til pasienter som kommer til kontroll etter en levertransplantasjon, sammen med samtykkeerklæringen.
Skjema datert 22.12.2008 ble til i forbindelse med at søknad ble sendt Datatilsynet og telefonisk kontakt mellom saksbehandler i Datatilsynet og personvernombudet hos Rikshospitalet. Informasjonsskrivet ble revidert i samråd med Datatilsynet, slik at det skiller mellom samtykke til registrering i registeret og forskning. Punkt 5 som gjaldt mulighet for å hente opplysninger fra andre registre ble fjernet på oppfordring fra Datatilsynet.
Skjema datert 11.9.2008 ble utarbeidet i forbindelse med utvidelse av forskningsaktiviteten og etablering av ny biobank. Skjemaet er et bredt informasjonsskriv og samtykkeskjema der pasientene gir samtykke til deltakelse i forskning. Pasienter som skulle settes på venteliste og pasienter som kom til kontroll etter transplantasjon ble også forelagt dette skrivet for å spørres om å samtykke til forskning. Det betyr at pasienter nå får følgende informasjonsskriv og samtykkeskjemaer;
- Informasjon om registrering av data i Norsk levertransplantasjonsregister (ny versjon datert 10.3.2009)
- Forespørsel om deltakelse i forskning ”Lever og gallegangssykdommer” (datert 11.9.2008)
Klager har altså rettet seg etter Datatilsynets kritikk og skilt registrering i Norsk levertransplantasjonsregister og deltakelse i forskningsprosjekter for fremtidige pasienter.
Nye pasienter som meldes på venteliste for levertransplantasjon (fra 2007) blir forelagt et informasjonsskriv og samtykkeskjema. Pasienter som kommer til kontroll etter transplantasjon utført før 2007, blir forelagt et tilsvarende skriv. Pasientene i den siste gruppen er altså transplanterte og i en annen situasjon, og klager vil gjerne ha avklart om slike samtykker er gyldige.
Klager anfører at de ser på kartlegging av kreftutvikling blant levertransplanterte som et viktig element i kvalitetskontroll av deres virksomhet. Videre er det essensielt for kvaliteten og nytteverdien av studien at registreringen blir komplett. Det er ikke sannsynlig at alle de registrerte vil avgi nye samtykker dersom dette kreves. Dersom data ikke blir komplette, risikerer man at undersøkelsen blir verdiløs.
REK har godkjent prosjektet og det er av betydelig samfunnsmessig interesse og nytte. REK har vurdert belastningen for de involverte som minimal og krever ikke samtykke. Helsedirektoratet har gitt dispensasjon fra taushetsplikten.
Opplysningene vil utleveres avidentifiserte etter kobling med Kreftregisteret. Et lignende prosjekt ble godkjent av Datatilsynet i 2007.
For pasientene vil det være en unødvendig belastning å bli informert om eller minnet om at de kan ha økt risiko for kreft.
5 Datatilsynets vurdering
Datatilsynet viser til at utgangspunktet er at personopplysninger, også sensitive, kun kan behandles dersom det foreligger hjemmel i personopplysningsloven §§ 8 og 9, jf § 11.
Lovens ordlyd gir ikke veiledning for prioritering mellom hjemmelsgrunnlagene. Lovens forarbeider sier imidlertid: ”Behandling av personopplysninger bør i størst mulig utstrekning baseres på samtykke fra den registrerte, selv om den også kan hjemles i de grunnlagene som oppstilles i bokstavene a-f” (Ot prp nr 92 (1998-99) s 108).
Personvernnemnda støtter dette synspunktet i sak PVN-2004-01 STAMI. I helseregisterloven § 5, 3. ledd fremgår det at samtykke ”skal” foreligge ”hvis ikke annet er bestemt i eller i medhold av lov”.
Dersom Datatilsynet skal vurdere hjemmelsgrunnlag i § 8 bokstav d og § 9 bokstav h, må det foreligge klar overvekt i favør av de samfunnsmessige fordelene. Datatilsynet bestrider ikke nytteverdien av prosjektet, men kan ikke se at dette blir utslagsgivende i avveiningen mot personvernfølgene prosjektet får.
Datatilsynet finner metoden for innsamling av samtykke til forskning kritikkverdig. Samtykkene ble innhentet i en situasjon hvor det er betydelig fare for at de registrerte opplevde å være under press da valget om deltakelse ble gitt samtidig med valget om venteliste til helsehjelp uten at det klart ble skilt mellom disse formålene. Etter Datatilsynets mening kunne den registrerte oppleve underskriving av samtykket som en forutsetning for å motta nødvendig helsehjelp. Tilsynet stiller spørsmål ved frivilligheten ved avgivelsen av samtykket. Samtykkeskjemaet gir ikke valgmulighet til å være registrert i ventelistesystemet uten å delta i senere forskning. Videre fremgår ikke forskningsformålet klart og samtykkene dekker derfor ikke denne typen behandling.
Datatilsynet er kommet til at hensynet til den enkeltes personvern veier tyngre enn samfunnsinteressen i dette tilfellet.
Datatilsynet betviler ikke at det kan tenkes at noen ikke avgir nytt samtykke. Dette momentet kan imidlertid ikke tillegges avgjørende vekt. Den enkelte skal ha råderett over opplysninger om seg selv. De bør få muligheten til å ta aktiv stilling til en eventuell deltakelse i forskningsprosjektet.
6 Personvernnemndas merknader
Saken gjelder hvorvidt en kobling mot Kreftregisteret kan skje uten at man innhenter nye samtykker fra pasientene. Personvernnemnda må derfor vurdere om de samtykkeskjemaene som er blitt brukt er i samsvar med loven. Samtykke skal være en frivillig, uttrykkelig og informert erklæring fra den registrerte, jf personopplysningsloven § 2 nr 7.
Det foreligger totalt fire forskjellige samtykkeskjemaer i denne saken – datert 15.2.2007, 28.3.2007, 11.9.2008 og 22.12.2008. Tre av samtykkeskjemaene har tilnærmet samme ordlyd, bortsett fra at i skjema datert 22.12.2008 er punkt 5 (kobling mot andre registre) strøket. Klager har forklart for nemnda at skjemaene datert 15.2.2007, 28.3.2007 og 22.12.2008 gjelder registrering i levertransplantasjonsregisteret og er blitt brukt overfor pasienter som skal settes på venteliste eller kommer til kontroll etter operasjon. Punkt 5 ble fjernet fra skjema datert 22.12.2008 etter oppfordring fra Datatilsynet.
Skjema datert 11.9.2008 gjelder deltakelse i forskning og kom i stand etter kommunikasjon med Datatilsynet, der Datatilsynet ba om at deltakelse i forskning ble skilt ut i et eget skjema, separat fra samtykket til å bli registrert i registeret. Skjemaet datert 11.9.2008 informerer også om kobling mot andre registre.
Pasientene er blitt bedt om å samtykke til registrering av personopplysninger i Norsk levertransplantasjonsregister. Samtykker er blitt innhentet samtidig med at pasientene ble satt på venteliste for levertransplantasjon eller i forbindelse med kontroll etter operasjonen. Personvernnemnda skal bemerke at det ikke er korrekt som pasientombudet sier at Scandiatransplant er en del av pasientjournalen. Etter nemndas mening har skjemaene hatt en noe uheldig ordlyd hvor formuleringene kunne gi rom for tolkningstvil og dermed medføre misforståelser. Ordlyden kunne gi pasienten inntrykk av at man måtte samtykke for å bli satt på venteliste og for å få den nødvendige oppfølgning etterpå. Det vises til formuleringen ”I forbindelse med at du skal påmeldes ventelisten for levertransplantasjon/kommer til kontroll etter levertransplantasjon, ønsker vi å informere deg om våre rutiner for dataregistrering i forhold til transplantasjonen og oppfølgningen etterpå og anmode om at du gir ditt samtykke til slik registrering”. Nemnda utelukker ikke at denne setningen kunne oppfattes slik at samtykke var en forutsetning for å få helsehjelp. Nemnda tolker den imidlertid ikke slik, men etter nemndas mening bør setningen likevel omformuleres. Nemnda ser ingen prinsipielle betenkeligheter ved at man ”anmoder” om samtykke så sant det tydelig fremkommer konsekvensene av at man ikke samtykker, for eksempel ved at manglende samtykke ikke har noen betydning for plassen på ventelisten eller oppfølgningen etter en transplantasjon.
Slik nemnda oppfatter det, skiller nå skjemaene mellom registrering i registeret og forskningen som skal skje i Norsk levertransplantasjonsregister.
Nemnda er under tvil kommet til at samtykkeskjemaene som er blitt brukt er rettslig sett tilfredsstillende slik at det ikke er nødvendig å innhente nye samtykker fra pasientene. Nemnda legger særlig vekt på at det fremgår av ordlyden at ”registreringen er frivillig”, og ”dersom du vil gi oss tillatelse til å registrere (…) ber vi deg vennligst om å signere (…)”, samt at man kan trekke tilbake sitt samtykke. Nemnda anbefaler dog sterkt at det for fremtiden vil fremgå enda klarere at pasienten settes på venteliste uansett, og at Norsk levertransplantasjonsregister er et eget register for forskning separat fra selve transplantasjonen (og vanlig journalføring). Nemnda vil anbefale at det gis en slik presisering ved kontroll eller annen oppfølgning. Nemnda anbefaler altså at ordlyden i skjema datert 10.3.2009 (den nyeste versjonen) rettes opp i samsvar med nemndas anbefalinger, eventuelt i samråd med Datatilsynet.
Personvernnemnda er med andre ord av den oppfatning at samtykkeskjemaene som har vært brukt ikke lider av slike mangler at det må få konsekvenser for samtykkets rettslige virkning. Etter nemndas mening er samtykkene avgitt frivillig og tilstrekkelig informert.
Klager gis medhold. Datatilsynets vedtak omgjøres idet Personvernnemnda er kommet til at konsesjon kan gis uten krav om at det blir innhentet nye samtykker fra de registrerte som er i live. Personvernnemnda anbefaler at ordlyden i skjema datert 10.3.2009 endres, eventuelt i samråd med Datatilsynet.
7 Vedtak
Klagen tas til følge.
Oslo, 26. august 2009
Eva I. E. Jarbekk
Leder