Personvernnemndas avgjørelse av 14. mai 2013 (Eva I. E. Jarbekk, Arve Føyen, Ørnulf Rasmussen, Audhild Gregoriusdotter Rotevatn, Gisle Hannemyr, Marta Ebbing)
1 Innledning
Personvernnemnda har ved oversendelse fra Datatilsynet mottatt klage på Datatilsynets delvise avslag på konsesjonsforlengelse. Datatilsynet ga forlengelse av konsesjonen under forutsetning av at informert samtykke innhentes fra deltakerne i HUNT 2.
2 Saksgang
Den 6. april 2009 mottok Datatilsynet en søknad fra NTNU om konsesjon for kobling av data
fra HUNT 2 og 3 med Reseptregisteret. Søknaden ble sendt via personvernombudet for forskning, NSD.
Datatilsynets vurdering ved behandling av søknaden var at det for deltakere fra HUNT 3 forelå behandlingsgrunnlag i form av samtykke i samsvar med personopplysningslovens §§ 8 bokstav a) og 9 bokstav a).
For deltakere fra HUNT 2 vurderte Datatilsynet det slik at det forelå behandlingsgrunnlag etter personopplysningslovens §§ 8 d og 9 h. Avveiningen mellom samfunnsnytten og hensynet til den enkelte la Datatilsynet avgjørende vekt på prosjektets korte varighet. Det ble videre presisert at en av konsesjonens forutsetninger var at personidentifiserbare opplysninger skulle slettes eller anonymiseres etter utløpet av konsesjonen, og at utvidelse av konsesjonen ikke kunne påregnes.
Den 9. august 2012 sendte NTNU en søknad om forlengelse og utvidelse av konsesjonen. Konsesjonen var tidsbegrenset til 31. mars 2012 og var således ikke lenger gyldig på søknadstidspunktet.
NTNU søkte om forlengelse av prosjektet med ny sluttdato 31.12.2020, samt ny medarbeiderliste. Søknaden ble sendt via personvernombudet for forskning, NSD.
Den 23. oktober 2012 fattet Datatilsynet vedtak i saken, og ga forlengelse av konsesjonen under forutsetning av at informert samtykke innhentes fra deltakerne i HUNT 2. Vedtaket er å anse som et delvis avslag da tillatelsen ikke samsvarer med det NTNU har søkt om.
Datatilsynet mottok klage fra forsker ved NTNU/HUNT på Datatilsynets delvise avslag. Klagen ble sendt fra NSD i brev av 16. november 2012.
Saken ble oversendt Personvernnemnda 14.2.2013, som mottok saken 25.2.2013. Klager ble orientert om dette i brev fra nemnda datert 1.3.2013, med frist til uttalelse innen 15.3.2013.
Klager kommenterte Datatilsynets oversendelsesbrev i brev av 14. mars 2013, med tre vedlegg. Personvernnemnda rettet en henvendelse til Datatilsynet med oppfølgingsspørsmål i brev av 3.5.2013. Datatilsynet besvarte henvendelsen i epost av 6.5.2013.
3 Faktum
HUNT 2 og HUNT 3 er befolkningsundersøkelser med konsesjon fra Datatilsynet. Den foreliggende søknaden om forlengelse er knyttet til et underprosjekt som bruker data fra HUNT 2 og HUNT 3.
Det er enighet om at deltakerne i HUNT 3 har samtykket til en kobling mellom HUNT-data, diagnoseopplysninger fra pasientjournal og Reseptregisteret.
Det er uenighet om hvorvidt det samtykket deltakerne i HUNT 2 har gitt er dekkende for den nevnte koblingen.
4 Klagers anførsler
Klager anfører at videre behandling av helseopplysninger fra deltakere i HUNT 2 koblet med opplysninger fra Reseptregisteret bør kunne hjemles i personopplysningsloven §§ 8 bokstav d) og 9 bokstav h). Dette begrunnes med at prosjektet må anses som av vesentlig interesse for samfunnet og at deltakernes integritet er ivaretatt ved at datamaterialet er anonymt på forskers hånd.
Behov for forlengelse er videre begrunnet med at prosjektledelsen trenger mer tid enn først forutsatt for å fullføre prosjektet.
Klager viser til at Datatilsynet i sak 12/00536 har gitt konsesjon frem til 2020 under forutsetning av at deltakerne i HUNT 2 blir informert om muligheten for at deres
helseopplysninger kan kobles mot Reseptregisteret, og at de blir gitt muligheten til å reservere seg mot dette. Klager opplyser om at informasjonsskriv er sendt ut til deltakerne i HUNT 2.
I klagers kommentar til Datatilsynets oversendelsesbrev skriver klager at både prosjektleder og personvernombud ble svært overrasket da Datatilsynet begrunnet avslaget med at koblingene i prosjektet ikke tilfredsstiller kravene til pseudonymitet. Datatilsynet viser til at det i søknaden opplyses at HUNT forskningssenter oppbevarer koblingsnøkkel mellom prosjektspesifikke ID og at det bryter med kravene til pseudonymitet. Datatilsynet viser for øvrig til at koblingsrutinene ikke er utfyllende beskrevet i prosjektsøknaden.
Personvernombudet for NTNU – NSD – påpeker at problemstillingen om hvorvidt forsker forholder seg til foreliggende pseudonymiseringskrav først kom opp i oversendelsesskrivet fra Datatilsynet til Personvernnemnda. Dersom Datatilsynet hadde begrunnet sitt første avslag med sin forståelse av at reseptregisterdata ikke ble koblet i henhold til gjeldende registerforskrifter, kunne prosjektleder og personvernombudet gitt utfyllende informasjon om koblingsrutinene i klagen på vedtaket, slik at misforståelsen på dette punktet var blitt avklart før oversendelsen til Personvernnemnda. Ombudet viser til vedlagt beskrivelse av koblingsprosedyrer fra HUNT databank og viser spesielt til at «Det foreligger ingen koblingsbru mellom FNR/PID og pseudoanonymisert ID som framkommer ved RRs prosess, og HUNT databank har da selvsagt heller ingen slik koblingsbro». Dette bekrefter også reseptregisteret.
Ombudet presiserer at saken dreier seg om følgende: Forskningsgruppen behandler per i dag anonyme data bestående av HUNT2 og HUNT3 data som er koblet mot Reseptregisterdata. Prosjektet er gjennomført i henhold til søknad (med unntak av at en godkjent kobling mot Reseptregisteret gjenstår) og godkjenningene fra REK og Datatilsynet. Koblingene er videre gjennomført i henhold til pseudonymiseringskravene. I løpet av prosjektleders postdoktorarbeid, som er planlagt fra 1.1.2015 til 31.12.2020, ønsker han å gjennomføre gjenstående kobling mot Reseptregisteret. Denne koblingen er det allerede gitt konsesjon til, men man ønsker altså å utsette koblingen til dette senere tidspunktet og da også i tråd med vilkårene for pseudonymisering.
Datatilsynet har også bemerkninger til informasjonsskrivet som ble sendt alle HUNT2-deltakere i september 2012, for blant annet å informere om reservasjonsretten mot utlevering av data fra HUNT og kobling mot bl.a reseptregisterdata. Datatilsynet viser til at det ikke informeres om at Reseptregisteret er å anse som spesielt beskyttelsesverdig, og at det heller ikke sies noe om reservasjonsmuligheten til kobling mot dette registeret.
Ombudet er enig i at Reseptregisteret ikke opplyses å være spesielt beskyttelsesverdig, men er samtidig overrasket over at Datatilsynet legger vekt på det i oversendelsesbrevet. Prosjektleder har fulgt samme mal som informasjonsskrivet til HUNT3, som Datatilsynet har godkjent, og nevner Reseptregisteret sammen med andre helseregistre.
Vedrørende reservasjonsrett mener ombudet at dette er inkludert på en tilfredsstillende måte i informasjonsskrivet selv om ombudet er enig i at avsnittet om reservasjonsretten kunne vært formulert og plassert på en bedre måte. Ombudet vil vise til at det under overskriften «Personvern, samtykke og frivillighet» blant annet står følgende: «Har du spørsmål om hva du har samtykket til, om dine muligheter til å reservere deg, eller andre forhold, kan du ta kontakt med oss per brev, telefon eller e-post». Når Reseptregisteret senere i skrivet nevnes blant flere registre det har vært og vil være aktuelt å koble HUNT-data mot, mener ombudet at deltakerne er gitt tilstrekkelig god informasjon om sin reservasjonsmulighet i forhold til Reseptregisteret. Det vises også til at dette informasjonsskrivet er et av flere informasjonstiltak knyttet til HUNT2 og HUNT generelt.
Datatilsynet skriver at tilsynet har to muligheter til å godkjenne koblinger til Reseptregisterdata; a) samtykke, eller b) kravene til pseudonymitet er ivaretatt. Tilsynet skriver videre at det er enighet om at det samtykket som er gitt av deltakerne i HUNT2 ikke tilfredsstiller kravene til gyldig samtykke, slik at samtykke ikke er et aktuelt behandlingsgrunnlag. Tilsynet konkluderer videre at kravene til pseudonymitet ikke er ivaretatt. Datatilsynet mener derfor at behandlingen ikke lenger kan hjemles i personopplysningsloven §§ 8d og 9h, slik det søkes om i søknad om forlengelse av konsesjonen.
Ombudet ber om at dette vurderes på nytt basert på de utfyllende opplysninger om rutiner for kobling og pseudonymisering som nå er gitt. Selv om koblingen mot Reseptregisteret skal foretas etter 2015, synes det lite hensiktsmessig for forsker å skulle sende ny søknad om denne koblingen senere både fordi prosjektet allerede har fått konsesjon og REK har godkjent forlengelsen. I tillegg må det vektlegges at etter at REK og Datatilsynet ga sine godkjenninger er det gjort ytterligere tiltak for å ivareta personvernet ved at deltakerne i HUNT2 har fått informasjon om at HUNT2 data også kan kobles mot Reseptregisteret. Deltakerne har også fått opplysning om reservasjonsretten. Informasjonen, som er en del av en større informasjonspakke knyttet til HUNT2 (og HUNT3) bidrar til å styrke personvernet og redusere eventuelle personvernulemper knyttet til behandlingen. Personvernulempene ved den planlagte behandlingen er minimal.
5 Datatilsynets vurdering
5.1 Nærmere om det rettslige utgangspunktet for vedtaket
Etter reseptregisterforskriften § 5-3 er adgangen til å sammenstille opplysninger fra Reseptregisteret med andre helseopplysninger begrenset. I bestemmelsens første ledd angis uttømmende de helseregistre som det er gitt adgang til å koble mot Reseptregisteret. I bestemmelsens første ledd siste punktum fastslås at sammenstillingen må utføres slik at enkeltpersoner ikke kan gjenkjennes ved hjelp av de sammenstilte opplysningene.
Reseptregisterforskriftens § 5-3 andre ledd åpner for at en sammenstilling av opplysninger som ikke oppfyller vilkårene i første ledd, kan tillates etter personopplysningsloven § 9 og § 33, jf. helseregisterloven § 12, altså ved konsesjon fra Datatilsynet.
Reseptregisteret er etablert som et pseudonymt helseregister, jf. helseregisterloven § 8, annet ledd. I informasjonen som er gitt til befolkningen om Reseptregisteret, heter det at lagrede reseptopplysninger ikke skal kunne tilbakeføres til legemiddelbruker. Kjernen i dette er at ingen andre enn pasienten skal ha tilgang til både pseudonym, identitet og helseopplysning samtidig. Reseptregisterforskriften § 4-1 oppstiller rettslig et reverseringsforbud. Dette innebærer at det er ulovlig å omgjøre et pseudonymt register til å bli et personidentifiserbart register. Reverseringsforbudet er imidlertid ikke til hinder for at pseudonyme registre kan sammenstilles, forutsatt at dette skjer i tråd med reglene for pseudonyme registre. Det vises til HODs rundskriv I-8/2005 Pseudonyme helseregistre.
Datatilsynet har gjennom sin praksis tillatt koblinger av data fra Reseptregisteret som reelt sett oppfyller forskriftens krav til pseudonymitet. Alle sammenstillinger med reseptregisterdata må utføres ved Reseptregisteret. Pseudonymiseringen skjer i en lukket prosess som driftes av SSB som er pålagt å være tiltrodd pseudonymforvalter (TPF) for Reseptregisteret.
Koblinger som ikke anses pseudonyme tillates kun dersom det foreligger samtykke fra de registrerte. Tilsynet har tillatt samtykkebaserte koblinger fordi den enkelte registrerte i disse tilfellene gis anledning til å vurdere deltakelse selv.
Datatilsynet har ved samtykkebaserte koblinger med data fra Reseptregisteret stilt krav om at det eksplisitt er samtykket til koblingene. Det anses ikke tilstrekkelig at det er avgitt et generelt samtykke for eksempel til "andre helseregistre". Begrunnelsen for dette strenge kravet, er blant annet den informasjonen som er gitt til norske borgere om registeret. Datatilsynet vurderer også at opplysningene i registeret er av en slik karakter at det er behov for høy grad av beskyttelse.
Datatilsynet har følgelig i praksis to muligheter til å godkjenne koblinger til data i Reseptregisteret:
a) samtykke fra de registrerte
b) kravene til pseudonymitet er ivaretatt
Datatilsynet sendte den 16. august 2007 et brev til Helse- og omsorgsdepartementet, hvor tilsynets praksis ble presentert og det ble bedt om departementets syn på denne praksisen. Tilsynet har sendt flere purringer til departementet, men har foreløpig ikke mottatt svar.
5.2 Datatilsynets vurdering
Som nevnt mener Datatilsynet å ha to muligheter til å godkjenne koblinger til data i
Reseptregisteret, samtykke fra de registrerte eller kravene til pseudonymitet er ivaretatt.
Det er enighet om at det samtykket som er gitt av deltakerne i HUNT 2 ikke tilfredsstiller kravene til et gyldig samtykke etter helseregisterloven § 2 nr. 11. Dette fordi Reseptregisteret ikke er positivt nevnt som et register det kan være aktuelt å koble helseopplysningene til. Datatilsynet er oppmerksomme på at Reseptregisteret ikke var opprettet på den tiden HUNT 2 ble gjennomført. Datatilsynet vurderer imidlertid at dette ikke kan tillegges avgjørende vekt, da det har vært mulig å innhente spesifikke samtykker i ettertid fra disse deltakerne. Tilsynet ser for eksempel at dette kunne vært gjort ved gjennomføringen av HUNT 3, som inkluderer mange av de samme deltakerne som HUNT 2. Tilsynet presiserer også at koblingen vil kunne godkjennes dersom den gjennomføres på en slik mate at den samsvarer med kravene til pseudonymitet.
Koblingsrutinene er ikke utfyllende beskrevet i søknaden. Slik saken fremstår for Datatilsynet, ser det imidlertid ikke ut til at koblingene i prosjektet tilfredsstiller kravene til pseudonymitet. Det opplyses at koblingsnøkkel mellom prosjektspesifikke ID og
personopplysninger oppbevares hos HUNT forskningssenter. Dette er ikke i tråd med kravene som stilles.
Datatilsynet har fast praksis for at konsesjoner gitt til sammenstilling av Reseptregisteret med andre helseopplysninger enten må være basert på samtykke eller oppfylle kravene til
pseudonymitet. Noen unntak har forekommet, men da etter konkrete helhetsvurderinger.
Når Datatilsynet valgte å fravike sin praksis i saken som denne klagen springer ut av var det på bakgrunn av en helhetsvurdering hvor det ble lagt avgjørende vekt på prosjektets korte varighet (mai 2009 – mars 2012). Det ble presisert at forlengelse av konsesjonen ikke kunne
påregnes. Når prosjektet til tross for dette blir søkt forlenget (flere måneder etter at konsesjonen er gått ut) er hovedforutsetningen for å fravike praksis ikke lengre tilstede.
Klager viser til at vilkåret satt i sak 12/00536 om informasjon og reservasjonsmulighet for HUNT 2 deltakerne er oppfylt, og således bør få vekt i denne saken.
Datatilsynet har mottatt informasjonsskrivet som er sendt ut, og kan ikke se at dette oppfyller vilkåret om informasjon og reservasjonsrett som er stilt i saken 12/00536.
En reservasjonsrett omtales i informasjonsskrivet, men er knyttet opp mot reservasjon mot at biologisk materiale blir sendt til USA og EU og gjenbrukt av forskere der.
Mottakerne av skrivet informeres riktignok om muligheten for at deres helseopplysninger kan bli koblet mot en rekke helseregistre, herunder Reseptregisteret. Det informeres imidlertid
ikke om at Reseptregisteret er å anse som spesielt beskyttelsesverdig, og heller ikke noe om muligheten til å reservere seg mot at helseopplysninger kobles mot dette registeret.
Når det gjelder forskjellen på samtykkeordlyden i HUNT2 og HUNT3 uttaler Datatilsynet at den aktuelle klagesaken gjelder kobling av helseopplysninger mot Reseptregisteret (som er et pseudonymt register). I samtykkeskrivet til HUNT 3 er kobling mot Reseptregisteret spesifikt nevnt. Reseptregisteret eksisterte ikke på det tidspunkt samtykker til HUNT 2 ble innhentet, så muligheten for slik kobling er naturlig nok ikke nevnt der. Datatilsynet har fast praksis for at konsesjoner gitt til sammenstilling av opplysninger fra Reseptregisteret med andre helseopplysninger enten må være basert på samtykke fra den registrerte eller oppfylle kravene til pseudonymitet. Bakgrunnen for den strenge praksisen omkring kobling mot Reseptregisteret er at dette er et pseudonymt register, og at befolkningen ved opprettelsen av dette registeret ble informert om at lagrede reseptopplysninger ikke skal kunne tilbakeføres til legemiddelbruker. Det vises til rundskriv om pseudonyme helseregistre som omtaler dette spesielt: http://www.regjeringen.no/upload/kilde/hod/rus/2005/0018/ddd/pdfv/251293-pseudonyme_helseregistre.pdf.
Datatilsynet viser også til tilsynets brev til Helse- og omsorgsdepartementet med spørsmål om anvendelsen av reseptregisterforskriften. Brevet gir uttrykk for Datatilsynets tolking av forskriften. Tilsynet har ikke mottatt noe tilbakemelding fra HOD om at dette er en feilaktig tolking.
6 Personvernnemndas merknader
Personvernnemnda skal vurdere om konsesjonen skal forlenges slik at videre behandling av helseopplysninger fra deltakere i HUNT2 kan skje i form av kobling med opplysninger fra Reseptregisteret. Spørsmålet er om hjemmel for slik kobling finnes i samtykket fra deltakerne i HUNT2 eller om det foreligger rettslig grunnlag for slik kobling i personopplysningsloven §§ 8 bokstav d) og 9 bokstav h).
Klager har påberopt at opplysningene behandles «anonymt på forskers hånd». Nemnda vil påpeke at dette ikke er et juridisk begrep og uttrykket ikke kan bli brukt som et argument i saken. Etter hva nemnda kjenner til er opplysningene i HUNT så finmaskede at det ikke vil være dekning for å si at dette vil være anonymt etter definisjonen i helseregisterloven. Man kan ikke utelukke mulighet for bakveisidentifikasjon.
Personvernnemnda har først vurdert om den ønskede bruk vil innebære en formålsutglidning i forhold til bruk av Reseptregisteret. Det vises til Reseptregisterforskriften § 5-3, jf § 1-3, som gir hjemmel for bruk til forskning og kobling når det foreligger samtykke. Spørsmålet blir det om samtykket er frivillig, uttrykkelig og informert.
Nemnda vil deretter vurdere om samtykket fra deltakerne i HUNT2 tilfredsstiller kravet til lovlig samtykke og således er et behandlingsgrunnlag for koblingen, jf personopplysningsloven §§ 8 og 9. Et samtykke skal være «en frivillig, uttrykkelig og informert erklæring» fra deltakeren, jf § 2 nr 7.
Samtykkeordlyden i HUNT2 var slik:
1. Jeg samtykker i at resultater fra blodprøven og andre deler av undersøkelsen, samt resultater fra eventuelle spesialundersøkelser blir sendt til den legen jeg har oppgitt på spørreskjemaet.
2. Dersom jeg ikke har oppgitt navn på lege, eller legen min ikke deltar i undersøkelsen, samtykker jeg i at mine resultater sendes til kommunelege.
3. Jeg samtykker i at jeg kan få tilbud om tilleggsundersøkelser, og i at jeg kan bli kontaktet av lege med tanke på tilbud om behandling eller for å forebygge sykdom.
4. Jeg samtykker i at mine resultater kan brukes til medisinsk forskning, eventuelt ved å sammenholde opplysninger om meg med opplysninger fra andre helse- og sykdomsregistre eller med mine resultater fra tidligere helseundersøkelser i Nord-Trøndelag. Når disse opplysningene sammenholdes, vil mitt navn og personnummer ikke bli tatt med.
5. Jeg samtykker i at blodprøve oppbevares. All bruk av denne vil bare skje etter godkjenning fra Datatilsynet og Regional komité for medisinsk forskning.
I tidsrommet fra august 1995 til juni 1996 var punkt 5 formulert slik:
5. Jeg samtykker i at blodprøve oppbevares. Ved bruk av blodprøven i forbindelse med medisinsk forskning, vil mitt samtykke bli innhentet.
Datatilsynet har konkludert med at deltakerne i HUNT2 ikke har fått god nok informasjon. Informasjonen er for generell idet Reseptregisteret ikke er nevnt spesielt i punkt 4. Deltakerne i HUNT2 har således i følge Datatilsynet ikke fått tilstrekkelig informasjon om koblingen, hverken initialt eller i senere informasjonsskriv, og samtykket kan ikke benyttes som behandlingsgrunnlag for kobling med Reseptregisteret.
Personvernnemnda er av den oppfatning at punkt 4 må fortolkes i samsvar med hva man må regne med at den samtykkende har forstått og villet med sitt samtykke. Nemnda må tolke ordlyden ut fra konteksten for å finne forståelsen av omfanget av samtykket hos den som ga samtykket, da samtykket ble gitt. Spørsmålsstillingen blir utsagnstolkning, «hva ville personen ha sagt dersom han hadde fått akkurat den informasjonen da samtykket ble innhentet?»
Samtykket omfatter kobling med «andre helse- og sykdomsregistre». Det vil si at deltakeren samtykker i kobling med uspesifiserte registre, men de må være helse- eller sykdomsregistre. Spørsmålet er om hvert helse- eller sykdomsregister burde vært positivt opplistet eller om denne mer generelle angivelsen av en kategori registre er tilstrekkelig for å kunne si at den registrerte avga et «informert» samtykke. I tolkningen av samtykket må man legge vekt på konteksten samtykket er avgitt i. Dette er deltakere som har svart på en rekke sensitive spørsmål, møtt opp til ulike helseundersøkelser, avgitt blodprøver, samt krysset av for at de tillater forskning og kobling med andre registre. Nemnda er enig med Datatilsynet i at en samtykkeordlyd ikke skal formuleres for omfattende. Imidlertid er dette tale om bredt anlagte helseundersøkelser med tilsvarende brede samtykkeerklæringer. Det er således nærliggende å tolke samtykket til slik kobling som et samtykke til kobling også med Reseptregisteret. Den som samtykket erklærte at man kunne koble mot andre helseregistre og det forelå ikke på samtykketidspunktet noen forutsetning om at man ikke ville samtykke til et senere etablert helseregister. Det er derfor rimelig å tolke samtykket til å omfatte de helseregistre som er relevante og finnes i dag. Ettersom antall helseregistre og deres art er i stadig utvikling, mener Personvernnemnda at det ville vært klargjørende for de registrerte at samtykket eksplisitt omfattet fremtidige helse- eller sykdomsregistre. Etter nemndas syn er ordlyden imidlertid tydelig nok når den omfatter alle helse- eller sykdomsregistre. Nemnda kan ikke se at det foreligger rettslig grunnlag for å kreve en spesifikk opplisting av hvert register det vil være aktuelt å koble opplysninger med for å tilfredsstille kravet til informert samtykke. Registrene er dessuten spesifisert til en spesiell kategori registre, idet det må dreie seg om helse- eller sykdomsregistre, i motsetning til for eksempel kobling mot andre kategorier registre eller opplysninger hos NAV, skatteetaten eller lignende som etter forholdene også kunne være interessant for forskning. I den forbindelse vil nemnda bemerke at samtykkeordlyden i HUNT3, som er godkjent av Datatilsynet, virker mer uspesifisert, bred og uoverblikkbar, idet den ikke begrenser seg til helse- eller sykdomsregistre, men omfatter i prinsippet alle kategorier registre idet ordlyden i HUNT3 sier «for eksempel». Etter nemndas syn er det en svært vidtfavnende samtykkeerklæring i HUNT3. Nemnda mener derfor at samtykkeerklæringen i HUNT2 er tilstrekkelig spesifisert sett i lys av den godkjente samtykkeordlyden i HUNT3. Nemnda kan ikke se at ulikhetene i ordlyden i HUNT2 og HUNT3 tilsier ulik behandling.
Personvernnemnda konkluderer med at det foreligger hjemmel for å koble opplysninger fra HUNT2 med Reseptregisteret i form av samtykke fra deltakerne. Datatilsynet må forlenge konsesjonen, jf personopplysningsloven § 33.
7 Vedtak
Klagen tas til følge.
Oslo, 14. mai 2013
Eva I E Jarbekk
Leder