Personvernnemndas avgjørelse av 8. november 2012 (Eva I. E. Jarbekk, Arve Føyen, Ørnulf Rasmussen, Tom Bolstad, Ann Sætnan, Jostein Halgunset)
1 Innledning
Personvernnemnda har ved oversendelse fra Datatilsynet mottatt klage på Datatilsynets avslag på søknad om konsesjon for prosjekt om testing av innsamling av legemiddelinformasjon fra pasientkurver.
2 Saksgang
Folkehelseinstituttet søkte i brev av 15.12.2010 om konsesjon til gjennomføring av et pilotprosjekt. Prosjektet gjaldt testing av innsamling av legemiddelinformasjon fra pasientkurver.
Datatilsynet besvarte søknaden i brev av 25.1.2011. Datatilsynet viste i sitt brev til helseregisterloven § 5 første ledd om at helseopplysninger bare kan behandles elektronisk når dette er tillatt etter personopplysningsloven §§ 9 og 33, helseforskningsloven eller følger av lov og behandlingen ikke er forbudt ved annet særskilt rettsgrunnlag. Det ble også påpekt at Reseptregisterforskriften oppstiller særskilte krav for behandling av opplysninger i Reseptregisteret. Det ble opplyst om at den omsøkte behandlingen blant annet må være i samsvar med Reseptregisterforskriften kapittel 1 og 5, herunder Reseptregisterforskriften § 5-3 annet ledd. Der fremgår det at en sammenstilling av opplysninger som ikke oppfyller vilkårene i bestemmelsens første ledd bare kan finne sted i den grad dette er tillatt etter personopplysningsloven § 9 og 33, jf helseregisterloven § 12.
Datatilsynet ba derfor om en nærmere tilbakemelding på vurdering av hvordan den omsøkte behandlingen anses å være i samsvar med kravene i Reseptregisterforskriften, herunder en tilbakemelding på behandlingsgrunnlaget etter personopplysningsloven §§ 8 og 9.
Det var i søknaden opplyst om at det er søkt om dispensasjon fra taushetsplikten til Helse- og omsorgsdepartementet (heretter departementet). Datatilsynet ba om å få oversendt vedtak fra departementet.
Folkehelseinstituttet besvarte Datatilsynets brev den 26.9.2011. Der ble også vedtak fra Helse- og omsorgsdepartementet lagt ved. I brevet fra Folkehelseinstituttet ble det i hovedsak vist til departementets vedtak hvor forholdet til taushetsplikt og reseptregisterforskriften ble drøftet. Departementet vurderte søknaden om dispensasjon etter helsepersonelloven § 29b, og innvilget dispensasjon.
Datatilsynet fikk i e-post av 24.11.2011 en vurdering fra Folkehelseinstituttet om at behandlingsgrunnlaget kunne hjemles i personopplysningsloven § 9 bokstav h for statistiske og vitenskapelige formal. Datatilsynet fikk i e-post av 23.1.2012 tilbakemelding på vurdering av hvorfor prosjektet ikke kunne baseres på såkalte «dummy data». Det ble opplyst at Reseptregisteret er et pseudonymt register slik at 11-sifret fødselsnummer blir pseudonymisert hos pseudonymforvalter/tiltrodd tredjepart. For at et individ skal få tildelt ett og samme unike pseudonym hver gang, opplyses det at fødselsnummeret må være gyldig. Det fremheves også at siden det legges til grunn at det testes om opplysninger fra nye kilder vil kunne bruke eksisterende løsning, må pseudonymiseringsprosessen testes sammen med import av dataene. Det vurderes til slutt at uten gyldig fødselsnummer kan ikke pseudonymiseringen gjennomføres.
Datatilsynet ga i vedtak av 14.2.2012 avslag på søknad om konsesjon. Datatilsynet vurderte at reseptregisterforskriften var til hinder for gjennomføring av prosjektet jf helseregisterloven § 5, jf reseptregisterforskriften.
Datatilsynet hadde også kommentarer knyttet til krav til behandlingsgrunnlag innenfor nevnte begrensning som følger av helseregisterloven § 5, jf reseptregisterforskriften.
Datatilsynet mottok i brev av 12.3.2012 klage fra Folkehelseinstituttet. Saken ble oversendt Personvernnemnda 22.5.2012, som mottok saken 11.6.2012. Klager ble orientert om dette i brev fra nemnda datert 12.6.2012, med frist til uttalelse innen 1.7.2012. Det er ikke innkommet uttalelse innen fristen.
Personvernnemnda tok kontakt med Folkehelseinstituttet i brev av 5.9.2012 med spørsmål om hvorvidt Folkehelseinstituttet hadde vurdert å benytte fiktive pasienter og pasientdata i testen. Dersom dette var vurdert, ville nemnda vite hvorfor testen krever live data (ekte personopplysninger). Folkehelseinstituttet besvarte brevet i brev av 10.9.2012 og forklarte at fødselsnummeret må være gyldig for å kunne gjennomføre pseudonymiseringen. Personvernnemnda sendte oppfølgningsspørsmål i brev av 11.9.2012 og fikk svar fra Folkehelseinstituttet i brev av 26.9.2012, hvor det fremkommer at testen må utføres i en reell klinisk setting.
3 Faktum
Saken dreier seg om søknad for å utrede en løsning for innsamling av informasjon om legemiddelbruk for pasienter i institusjon. Folkehelseinstituttet ønsker å undersøke om informasjon om legemiddelbehandling av pasienter på sykehus, som har innført elektroniske pasientkurver, enkelt og hensiktsmessig kan inkluderes i Reseptregisteret. Det er vist til hovedrapporten «Gode helseregistre – bedre helse». I denne rapporten er tiltak nummer 42 å vurdere forpost for å planlegge fellesregister for legemidler.
Det ønskes å hente et begrenset antall variabler for et utvalg inneliggende pasienter. Deretter ønskes det å importere informasjonen til Reseptregisterets database. Det fremgår av søknaden at pasientinformasjonen skal bli lagret i kort tid i Reseptregisterets database. Pilotprosjektets formål er å tilpasse xml-formatet for de dataene som mottas fra sykehus og teste den tekniske løsningen.
4 Klagers anførsler
Folkehelseinstituttet er enige i at registrering av opplysninger fra omtalte pasientkurver ikke er tillatt etter forskriften og et en eventuell beslutning om at slike data etterhvert skal inntas i registeret krever en forskriftsendring. Både Folkehelseinstituttet og departementet har lagt til grunn at prosjektet ikke kan gjennomføres med hjemmel i reseptregisterforskriften. Det er ikke planlagt å sammenstille opplysninger fra pasientkurver med de øvrige data som er registrert i Reseptregisteret.
Prosjektet er ikke et medisinsk eller helsefaglig prosjekt, men et prøveprosjekt der formålet er å teste ut om det er mulig å transportere data fra pasientkurvsystemet og inn i Reseptregisterets mottakssystem. Dataene vil bli oppbevart der en kort periode for å kontrollere at de er kommet frem og at meldingssystemet fungerer. Opplysningene skal deretter slettes. Dataene skal ikke lagres i Reseptregisteret, og skal heller ikke utleveres eller på annen måte forvaltes etter reseptregisterforskriftens bestemmelser.
Folkehelseinstituttet viser til departementets vedtak om dispensasjon fra taushetsplikten for gjennomføring av prosjektet. Der har de lagt til grunn at prosjektet ikke omfattes av reseptregisterforskriftens bestemmelser og at forskriften av den grunn ikke er til hinder for gjennomføring av prosjektet. Videre at departementet vurderer prosjektet slik at det faller inn under formålene i helsepersonelloven § 29 b, og at de har gitt dispensasjon med hjemmel i denne bestemmelsen.
Folkehelseinstituttet viser også til at Datatilsynet hovedsakelig har lagt vekt på begrensningene i Reseptregisterforskriften i sin begrunnelse for avslaget på konsesjonssøknaden, og ber derfor om en nærmere begrunnelse for og en konkret vurdering av hvorvidt den omsøkte behandlingen kan tillates med hjemmel i helsepersonelloven § 29 b og personopplysningsloven §§ 8 bokstav d og 9 bokstav h.
Folkehelseinstituttet peker på at behandlingen er nødvendig av viktige samfunnsmessige hensyn, og at dette overstiger personvernulempene. Det er kun løsningen og muligheten for datainnsamling fra sykehus og sykehjem som skal testes ut i et begrenset tidsrom. Opplysningene skal slettes fra Reseptregisteret når testingen er gjennomført. Det er heller ikke tale om andre opplysninger enn hva Reseptregisteret ellers får fra apotekene. All databehandling skal skje slik at ingen får samtidig tilgang til fødselsnummer, pseudonym og helseopplysninger.
5 Vurdering fra Helse- og omsorgsdepartementet
Departementet stiller spørsmål om reseptregisterforskriften er til hinder for gjennomføring av prosjektet. Det uttales at individopplysninger om legemiddelbehandling av pasienter ikke kan inkluderes i Reseptregisterdatabasen som en del av Reseptregisteret, med mindre reseptregisterforskriften endres. Det vises til reseptregisterforskriften § 1-8 samt til høringsforslaget til nevnte forskrift, der det fremgår hvilke opplysninger som kan inngå i registeret. Departementet viser videre til at det følger av helseregisterloven § 2 nr 6 at et helseregister er definert som registre, fortegnelser m.v der helseopplysninger er lagret systematisk slik at opplysningene om den enkelte kan finnes igjen. Det vises også til merknadene til bestemmelsen i Ot.prp. nr 5 (1998-2000) om lov om helseregistre og behandling av helseopplysninger.
Det er vist til følgende uttalelser i Ot.prp. nr 5 (1998-2000):
«Registerbegrepet i loven er et logisk begrep. Registerbegrepet er ikke en datateknisk definisjon. Et helseregister kan gjerne bestå av flere datafiler, og kan fysisk føres flere steder. På den annen side er det slik at en samling opplysninger som er lagret på en datafil, ikke nødvendigvis utgjør et helseregister. Avgjørende for om en samling opplysninger kan sies å være et helseregister, er om det er en logisk sammenheng mellom opplysningene, grunnlaget for å registrere opplysningene og formålet med behandlingen av dem.»
Departementet trekker frem at grunnlaget for midlertidig å kunne registrere omsøkte opplysninger i Reseptregisterbasen i omsøkte prosjekt, og formålet med det, vil være forskjellig fra rettsgrunnlaget for og formålet med Reseptregisteret. Det vises til at de omsøkte opplysninger ikke skal brukes til forskning, men bare midlertidig behandling for testing av teknisk løsning. Deretter skal opplysningene slettes. Det fremheves til slutt at pilotprosjektet derfor ikke anses som en del av registeret, og at reseptregisterforskriften derfor ikke er til hinder for at omsøkt prosjekt kan gjennomføres. Departementet innvilger derfor dispensasjon fra taushetsplikten etter helsepersonelloven § 29b.
6 Datatilsynets vurdering
Etter Datatilsynets vurdering er reseptregisterforskriften til hinder for gjennomføring av prosjektet, jf helseregisterloven § 5 første ledd, jf reseptregisterforskriften.
Datatilsynet har også foretatt en subsidiær vurdering av behandlingsgrunnlag etter personopplysningsloven §§ 8 og 9.
Det følger av helseregisterloven § 5 første ledd at helseopplysninger bare kan behandles elektronisk når dette er tillatt etter personopplysningsloven §§ 9 og 33, helseforskningsloven eller følger av lov og behandlingen ikke er forbudt ved annet særskilt rettsgrunnlag.
Bestemmelsen fastslår altså at helseopplysninger bare kan behandles elektronisk når dette er tillatt etter personopplysningsloven §§ 9 og 33, eller følger av bestemmelser fastsatt i forskrift etter denne lov §§ 6 til 8 og behandlingen ikke er forbudt ved lov eller annet særskilt rettsgrunnlag. Kravet om at behandlingen ikke skal være forbudt ved lov eller annet særskilt rettsgrunnlag synliggjør at annen lov eller annet særskilt rettsgrunnlag kan sette særlige skranker for behandling av helseopplysninger. Reseptregisterforskriften setter slike særlige skranker.
For det første angir forskriften § 1-3 de ytre rammene for hvilke formål Reseptregisteret kan benyttes til. Forskriften § 1-4 forbyr anvendelse av registrerte opplysninger til andre formål enn de som nevnes i § 1-3. Dette er et enkeltstående prosjekt med formål om å tilpasse xmlformatet for de dataene som mottas fra sykehus og teste den tekniske løsningen. Det er ikke vurdert i søknaden eller sannsynliggjort på andre måter for tilsynet at dette er innenfor de formål Reseptregisteret kan benyttes til, jf reseptregisterforskriften § 1-4 jf § 1-3.
Videre følger det av reseptregisterforskriften § 1-8 hvilke opplysninger som kan inngå i Reseptregisteret. Reseptregisteret kan bare inneholde opplysninger som direkte eller indirekte fremkommer av reseptene og rekvisisjonene. Det følger også av reseptregisterforskriften § 2-1 at apoteker plikter å sende inn opplysninger til Reseptregisteret. Etter Datatilsynets vurdering er disse bestemmelsene til hinder for at individopplysninger om legemiddelbehandling av pasienter på sykehus, som har innført elektroniske pasientkurver, inngår i reseptregisterdatabasen.
Det vises for øvrig til spørsmålet Datatilsynet har stilt departementet i brev av 16.8.2007 om hvorvidt data fra Reseptregisteret skal kunne sammenstilles med andre data enn de som er nevnt i § 5-3 første ledd. Det kan synes som om departementet forutsetningsvis gjennom sitt vedtak vurderer at Reseptregisteret kan sammenstilles med andre registre enn de som er nevnt i bestemmelsens første ledd. Reseptregisterforskriften § 5-3 første ledd inneholder også krav om at sammenstillingen av opplysninger må utføres slik at enkeltpersoner ikke kan gjenkjennes ved hjelp av de sammenstilte opplysningene. Datatilsynet har ikke vurdert hvorvidt dette kravet også er til hinder for omsøkt behandling av opplysninger i prosjektet etter reseptregisterforskriften § 5-3 annet ledd.
Når det gjelder departementets vurdering, anser ikke departementet reseptregisterforskriften for å være til hinder for gjennomføringen av det omsøkte prosjektet. Tilsynet deler ikke departementets vurdering. Helseregisterloven § 2 nr 6 definerer helseregistre som registre, fortegnelser mv. der helseopplysninger er lagret systematisk slik at opplysningene om den enkelte kan finnes igjen. Reseptregisteret er et sentralt pseudonymt helseregister opprettet med hjemmel i helseregisterloven § 8. På samme måte som personopplysningsloven § 2 nr 3 oppstiller helseregisterloven § 2 nr 6 to krav for at et sted eller en lagrings- eller bruksmåte skal utgjøre et register. Opplysningene må lagres systematisk og enkeltindividet må kunne finnes igjen i registeret. Det er også viktig å fremheve at dersom den enkelte kan identifiseres, spiller det ingen rolle om opplysningene er lagret i en personidentifiserbar form, i avidentifisert form eller pseudonym form.
Det vises også til merknadene til bestemmelsen i Ot.prp. m 5 (1998-2000) om lov om helseregistre og behandling av helseopplysninger. Det er vist til følgende uttalelser der:
«Registerbegrepet i loven er et logisk begrep. Registerbegrepet er ikke en datateknisk definisjon. Et helseregister kan gjerne bestå av flere datafiler, og kan fysisk føres flere steder. På den annen side er det slik at en samling opplysninger som er lagret på en datafil, ikke nødvendigvis utgjør et helseregister. Avgjørende for om en samling opplysninger kan sies å være et helseregister, er om det er en logisk sammenheng mellom opplysningene, grunnlaget for å registrere opplysningene og formålet med behandlingen av dem.»
Datatilsynet viser også til Rt 1991 side 616. Der uttalte Høyesterett følgende om begrepet «personregister»:
«Det avgjørende for at en samling personopplysninger utgjør et «personregister», er at opplysningene er lagret systematisk på en slik måte at man kan gå inn i registeret og finne igjen opplysninger om den enkelte person.»
Slik Datatilsynet leser lovforarbeidene til begrepet helseregister er det i hovedsak vurderingstemaet for når en samling opplysninger kan sies å være et helseregister som beskrives.
Det kan synes som om departementet mener at helseopplysninger fra det omsøkte prosjektet samlet sett ikke vil utgjøre et midlertidig helseregister. Datatilsynet finner det lite tvilsomt at det omsøkte prosjektet i seg selv utgjør et helseregister. Det pekes spesielt på at opplysningene blir lagret systematisk slik at man kan finne igjen opplysninger om de registrerte.
Datatilsynet mener også at det omsøkte prosjektet vil innebære en midlertidig utvidelse av Reseptregisteret. Datatilsynet mener det avgjørende moment i denne vurderingen er at opplysningene skal inngå i Reseptregisterets database. Datatilsynet peker videre på at innsamling, pseudonymisering og mottak av helseopplysninger skal skje på samme måte som for de helseopplysningene som lagres permanent i Reseptregisteret.
Datatilsynet legger også vekt på at helseregisterloven tar sikte på å styrke hjemmelsgrunnlaget for behandling av helseopplysninger i store, landsomfattende helseregistre. Datatilsynet mener en slik styrking av hjemmelsgrunnlag taler imot at reseptregisterdatabasen kan suppleres med helseopplysninger basert på andre hjemmelsgrunnlag.
Datatilsynet mener det er lojalt å tolke loven slik at også i tilfeller hvor det er tvil om tilsynet har kompetanse til å gi en konsesjon bør tillegges betydelig vekt at helseregisterlovens formål er angitt å være sikring av blant annet kvalitet, styring og planlegging gjennom styrking av hjemmelsgrunnlaget.
Det vil etter Datatilsynets mening også ha en negativ konsekvens ved at man unndrar midlertidige utvidelser av sentrale helseregistre fra den kontroll og politiske vurderinger som helseregisterloven har til hensikt å sikre. I tillegg vil det kunne skape en praksis hvor man tøyer Datatilsynets konsesjonskompetanse.
Det pekes på at en utvidelse av Reseptregisteret vil være underlagt en ordinær høring. Denne høringen vil danne utgangspunkt for om Reseptregisteret skal utvides. Datatilsynet peker også på at riktig rekkefølge bør være å avklare om Reseptregisteret skal utvides før man tester en teknisk løsning for å legge til rette for en slik utvidelse.
Dersom Personvernnemnda kommer til at reseptregisterforskriften ikke er til hinder for gjennomføring av prosjektet, vil Datatilsynet anføre at innenfor rammen av nevnte begrensinger i helseregisterloven § 5 første ledd kan sensitive personopplysninger bare behandles når det foreligger hjemmel i personopplysningsloven §§ 8 og 9, jf § 11. Bestemmelsene gir adgang til behandling av personopplysninger dersom det foreligger samtykke, lovhjemmel eller dersom konkrete, nødvendige kriterier er oppfylt.
Datatilsynet har vurdert at reseptregisterforskriften er til hinder for gjennomføring av prosjektet, og har derfor ikke foretatt en nærmere vurdering av om prosjektet kan ha behandlingsgrunnlag i personopplysningsloven §§ 8 og 9, jf § 11. Det er anført at prosjektet har behandlingsgrunnlag i personopplysningsloven § 8 bokstav d jf § 9 bokstav h. Selv om Datatilsynet ikke har foretatt noen nærmere vurdering av behandlingsgrunnlag, mener tilsynet det også kan settes spørsmålstegn ved om prosjektet kan sies å ha behandlingsgrunnlag i personopplysningsloven § 8 bokstav d, jf § 9 bokstav h.
Det pekes for det første på at hovedregelen etter helseregisterloven § 5 tredje ledd er at samtykke fra den registrerte skal foreligge før helseopplysninger innsamles, hvis ikke annet er bestemt i lov eller i medhold av lov.
Ordlyden i personopplysningsloven §§ 8 og 9 gir ikke veiledning for prioritering mellom hjemmelsgrunnlagene. Datatilsynet viser imidlertid til lovens forarbeider, særlig til merknadene til § 8 i Ot.prp. nr 92 (1998-99) side 108 andre spalte avsnitt to:
«Behandling av personopplysninger bør i størst mulig utstrekning baseres på samtykke fra den registrerte, selv om den også kan hjemles i de grunnlagene som oppstilles i bokstavene a-f. For det første vil dettes styrke den registrertes mulighet til å råde over opplysninger om seg selv. For det annet vil man ved å basere behandlingen på samtykke unngå tvil om de mer skjønnsmessige vilkårene i bokstav a til f er oppfylt».
Personvernnemnda har støttet dette synspunktet blant annet i saksnummer 2004/01 («STAMI saken»). Det ble i denne saken avgjort at hensynet til den enkeltes autonomi utgjør et hovedprinsipp etter personverndirektivet og den norske implementeringen av direktivet. Det uttales i saken at:
«For at man skal kunne gjøre avvik fra hovedprinsippet, må det derfor foreligge en begrunnelse. Denne begrunnelsen kan, som nevnt ovenfor, ikke bare være en ren hensiktsmessighetsbetraktning, f eks unngå kostnader, spare tid eller lignende – selv om slike begrunnelser selvsagt må vurderes i forhold til den enkelte sak.»
Datatilsynet bestrider ikke interessen i å teste ut en teknisk løsning som ledd i planlegging for eventuell endring av et register og en forskrift. Personvernulempene i denne saken begrenses også gjennom at man benytter seg av pseudonym teknologi og at behandlingen forutsettes å være relativt kort. Datatilsynet bestrider heller ikke at rene hensiktsmessighetshensyn tilsier at behandlingen ikke trenger å være basert på samtykke.
Til tross for dette mener Datatilsynet det i denne saken ikke er sannsynliggjort for Datatilsynet hvorfor hovedprinsippet om samtykke kan fravikes for behandlingen av helseopplysninger. Det pekes spesielt på hvorfor det ikke kan innhentes samtykker når det er tale om et begrenset utvalg, og hvor det er tale om et pasientutvalg som består av personer innlagt på avdelinger der medisinkurver er tatt i bruk. Datatilsynet peker på at praktiske hensyn mot å innhente samtykke normalt gjør seg mindre gjeldende i et slikt tilfelle enn når det er tale om et utvalg man må kontakte per post. Datatilsynet peker i denne forbindelse også på at det foreligger en informasjonsplikt etter helseregisterloven § 23 når det samles inn helseopplysninger fra den registrerte selv. Informasjonsplikten går blant annet på at det skal informeres om opplysningene vil bli utlevert og eventuelt hvem som er mottaker etter bestemmelsens nummer 3. Det vises også til informasjonsplikten etter helseregisterloven § 24. Datatilsynet kan ut fra sakens opplysninger ikke se at det på generelt grunnlag kan gjøres unntak fra informasjonsplikten, og mener dette er et moment i retning av at prosjektet bør baseres på samtykke. Praktiske problem med å innhente samtykke reduseres når det uansett foreligger en informasjonsplikt. Det pekes for eksempel på at samtykke- og informasjonsskriv kunne vært gitt til innlagte pasienter i samme skriv.
Datatilsynet vil også fremheve at selv om det er tale om et begrenset utvalg av variabler fra den enkelte er det tale om utlevering av sensitive personopplysninger om legemiddelbruk. Datatilsynet vil også fremheve at det kan være grunn til å tro at deltakere i prosjektet ville stilt seg negative til bruk av slike typer sensitive personopplysninger til utprøving av en teknisk løsning, og mener også dette er et moment i retning av at samtykke bør innhentes.
Faren for at enkelte personer vil takke nei til å delta i prosjektet er etter tilsynets vurdering ikke et moment som kan tillegges nevneverdig vekt i retning av at dette prosjektet skal baseres på et annet behandlingsgrunnlag enn samtykke.
Når det gjelder alternativt behandlingsgrunnlag har Folkehelseinstituttet anført at personopplysningsloven § 8 bokstav d, jf personopplysningsloven § 9 bokstav h bør kunne utgjøre behandlingsgrunnlag. Personopplysningsloven § 8 bokstav d hjemler behandling av personopplysninger som er nødvendige for å utøve en oppgave av allmenn interesse. Personopplysningsloven § 9 bokstav h oppstiller krav om at behandlingen må være nødvendig for historiske, statistiske eller vitenskapelig formål, og samfunnets interesse i at behandlingen finner sted klart overstiger ulempene den kan medføre for den enkelte. Det bemerkes at det har vært reist spørsmål om bokstav h også hjemler forvaltningsorganers bruk av sensitive personopplysninger som ledd i pålagte utrednings- og planleggingsoppgaver. Det er i lovforarbeidene antatt at planleggings- og utredningsoppgaver i en del tilfeller kan være av en slik art at de faller inn under bokstav h.
Etter Datatilsynets vurdering må prosjektet baseres på samtykke. Tilsynet går derfor ikke nærmere inn på de anførte alternative behandlingsgrunnlagene.
7 Personvernnemndas merknader
Personvernnemnda må vurdere om reseptregisterforskriften er til hinder for gjennomføring av dette prosjektet. Forskriften av 17. oktober 2003 nr 1246 om innsamling og behandling av helseopplysninger i reseptbasert legemiddelregister (Reseptregisteret) § 1-3 og § 1-4 lyder slik:
§ 1-3. Reseptregisterets formål
Formålet med Reseptregisteret er å samle inn og behandle data om legemiddelbruk hos mennesker og dyr for å:
- kartlegge forbruket i landet og belyse endringer over tid,
- fremme og gi grunnlag for forskning og utredning for å kunne belyse positive og negative effekter av legemiddelbruk,
- gi myndighetene et statistisk grunnlag for kvalitetssikring av legemiddelbruk og overordnet tilsyn, styring og planlegging,
- gi legemiddelrekvirenter et grunnlag for internkontroll og kvalitetsforbedring.
§ 1-4. Lovlig bruk av registeret
Opplysningene i Reseptregisteret kan bare anvendes til formål som er nevnt i § 1-3.
Datatilsynet mener at reseptregisterforskriften er til hinder for prosjektet. Departementet mener at reseptregisterforskriften ikke er til hinder for prosjektet fordi pilotprosjektet ikke vil være en del av registeret, idet det ikke vil brukes til forskning, men bare midlertidig behandles for testing av en teknisk løsning.
Personvernnemnda skal bemerke at til hvilke formål Reseptregisteret kan benyttes, er regulert slik at § 1-4 forbyr anvendelse av registrerte opplysninger til andre formål en de som nevnes i § 1-3. I merknadene til forskriftens bestemmelser er det uttalt at bestemmelsen i § 1-4 setter en klar grense for hva registerets opplysninger kan benyttes til, og innebærer i realiteten et forbud mot annen bruk av registeret enn det som fremkommer av § 1-3. Begrunnelsen for å begrense registerets bruksområde er hensynet til personvernet og den alminnelige tillit til at unødig og ukontrollert bruk ikke skal finne sted. Med begrepet "utredning" i § 1-3 nr. 2 menes blant annet utredning av regulatoriske tiltak knyttet til legemiddelområdet og legemiddeløkonomisk analyse som ledd i ulike forvaltningsvedtak. Registeret skal ifølge alternativ nr. 3 gi grunnlag for "overordnet tilsyn". Typisk vil dette hjemle oppfølging av nasjonale eller regionale tendenser, men neppe pilotprosjekter med import av andre data enn de som kan registreres i registeret i henhold til § 1-8. Forskriften § 1-8 første ledd lyder:
Reseptregisteret inneholder opplysninger fra alle resepter og rekvisisjoner som er ekspedert ved norske apotek, både til human og veterinær bruk. Registeret kan bare inneholde opplysninger som direkte eller indirekte fremkommer av reseptene og rekvisisjonene, med mindre annet følger av annet ledd. Opplysninger om pasient og rekvirent skal være pseudonymisert.
Utgangspunktet er med andre ord at registeret skal kun være basert på de opplysningene som fremgår av resepten, jf «kan bare inneholde».
I nærværende sak skal man undersøke om begrenset informasjon om legemiddelbehandling av pasienter på sykehus som har innført elektroniske pasientkurver kan inkluderes i Reseptregisteret. Det man ønsker å gjøre er å importere denne informasjonen til Reseptregisteret. Etter nemndas syn vil dette være i strid med bestemmelsen om omfanget av registeret, jf forskriften § 1-8. Det er klart at reseptregisteret «kan bare» inneholde opplysninger som direkte eller indirekte fremkommer av reseptene og rekvisisjonene. Testen innebærer derfor en utvidelse som ikke kan gjennomføres med mindre reseptregisterforskriften endres.
Departementet har uttalt at testen faller utenfor registeret. Dette kunne reise spørsmål om analog anvendelse eller utvidende tolkning. Etter nemndas oppfatning er forskriften svært tydelig og spesifikk på hva registeret kan inneholde og ordlyden synes ikke å åpne for alternativ tolkning. Personvernnemnda kan derfor ikke se at forskriften kan tolkes til å omfatte den omsøkte behandling. Klagen tas ikke til følge.
8 Vedtak
Klagen tas ikke til følge.
Oslo, 8. november 2012
Eva I E Jarbekk
Leder