PVN-2013-28 NOKBIL

Personvernnemndas avgjørelse av 27. juni 2014 (Eva I E Jarbekk, Arve Føyen, Nina Melsom, Ørnulf Rasmussen, Ann R Sætnan, Gisle Hannemyr)

1 Innledning

Personvernnemnda har ved oversendelse fra Datatilsynet mottatt klage på Datatilsynets avslag på konsesjonssøknad om å opprette Norsk kvalitetsregister for biologiske legemidler NOKBIL.

2 Saksgang

Sommeren 2012, ba St. Olavs Hospital om et råd- og veiledningsmøte med Datatilsynet om opprettelse av registeret NOKBIL. I dette møtet redegjorde Datatilsynet for at konsesjon for denne fellesregistermodellen syntes lite egnet som rettslig grunnlag for registeret.

Senter for klinisk dokumentasjon og evaluering, (SKDE) som er et servicemiljø for kvalitetsregistermiljøene, designet deretter registerløsningen for NOKBIL og anbefalte at registeret skulle opprettes i medhold av konsesjon.

St. Olavs Hospital oversendte søknad om konsesjon, datert 31.8.2012, med beskjed om at ytterlige dokumentasjon ville bli ettersendt. Dokumentasjon ble ettersendt den 12.9.2012, deretter endelig versjon av protokoll av 21.12.2012 og siste dokumentasjon ble sendt i e-post den 4.1.2013.

Datatilsynet fattet vedtak om avslag på søknaden 15.1.2013. Søker klaget på vedtaket den 25.2.2013. Ytterligere presiseringer av klagen fra søker til Datatilsynet ble sendt den 27.2.2013.

SKDE henvendte seg til Helse- og omsorgsdepartementet i brev av 4. februar 2013, der de ba departementet avklare forståelsen av regelverket for kvalitetsregistre og rekkevidden av Datatilsynets kompetanse. Datatilsynet stilte saken i bero mens man ventet på svar fra Helse -og omsorgsdepartementet.

SKDE ba senere om et møte med Datatilsynet om kvalitetsregistre generelt og om denne saken spesielt som ble avholdt den 21.6.2013. I møtet med SKDE ble Datatilsynet gjort oppmerksomme på at det ikke ville komme svar fra Helse- og omsorgsdepartementet og Datatilsynet gjenopptok arbeidet med saken høsten 2013.

Datatilsynets vedtak kom 15. januar 2013, med avslag på søknad om konsesjon for opprettelse av Norsk kvalitetsregister for biologiske legemidler. Vedtaket ble påklaget i klage av 25. februar 2013 fra Helse Midt-Norge regionale helseforetak (RHF), samt utdypning av klagen med subsidiær søknad den 27. februar 2013.

Saken ble oversendt Personvernnemnda 19.12.2013, som mottok saken 27.12.2013. Klager ble orientert om dette i brev fra nemnda datert 10.1.2014, med frist til uttalelse innen 30.1.2014. Nemnda mottok ikke kommentarer fra klager innen fristen.

Nemnda orienterte klager og Datatilsynet om medlem Marta Ebbings arbeid innen dette feltet og meddelte at den likevel anser henne som habil i saken. Nemnda ba om eventuelle innsigelser innen 12.5.2014. Ingen innsigelser kom inn.

3 Faktum

Opprettelse av fellesregisteret NOKBIL er besluttet av Helse- og omsorgsdepartementet. Utredning og gjennomføring av etableringen av registeret er gitt som bestilling til de regionale helseforetakene. I departementets bestilling orienteres det om at registeret bryter med vanlige prinsipper for oppbygning av kvalitetsregistre. Fellesregistermodellen er en samling av flere registre over ulike sykdomsgrupper hvor NOKBIL er hovedregisteret, benevnt basisregister. De øvrige registrene i dette fellesregisterkomplekset skal levere data til NOKBIL, men flere av disse er ennå ikke ferdig utredet eller besluttet opprettet. Registeret er samtykkebasert, har brede formål, inneholder flere sykdomsgrupper og skal kobles med de fleste sentrale helseregistre og befolkningsundersøkelser.

I hovedsak er pasientene i de ulike sykdomsgruppene kronikere med ulike typer autoimmune lidelser (sykdommer som forårsakes av at kroppens immunsystem angriper friske celler). Fellesnevner for de pasientene som skal inkluderes er at de behandles med biologiske legemidler eller legemidler med antatt tilsvarende effekt.

Søknaden presenterer registeret som et «fellesregister» med NOKBIL som «basisregister» med 8 tilknyttede kvalitetsregistre over ulike sykdomsgrupper. Denne registermodellen er lagt til grunn for hjerte- og karregisteret som har selvstendig lovhjemmel i helseregisterloven § 8, 3. ledd. Etter vedtakelsen av lovhjemmel for hjerte- og karregisteret i Stortinget er denne modellen lagt til grunn på et mer generelt grunnlag i helseforvaltningens anbefalinger og strategier for fremtidens etablering av helseregistre: «Gode helseregistre – bedre helse» og videreført i helseforvaltningens videre planarbeid med helseregisterfeltet i «Norsk helseregisterprosjekt».

4 Klagers anførsler

Klager bestrider at fellesregisteret NOKBIL er mangelfullt utredet og fastholder at konsesjon fra Datatilsynet er det korrekte rettslige grunnlag for registeret. Klagers standpunkt til det rettslige grunnlaget bygger på henvisninger til helseregisterlovens forarbeider og anvendelsesområdet for personopplysningsloven. Videre hevder klager at det er feilaktig av Datatilsynet å sammenligne dette fellesregisteret med andre registre som benytter samme registerform og som er regulert i lov- og forskrift. Det vises til at NOKBIL, i motsetning til andre fellesregistre, er et selvstendig spesialisert kvalitetsregister. Klager har også innsigelser til at Datatilsynet har lagt til grunn at registeret inneholder sensitive opplysninger. Det vises i den sammenheng til helseregisterlovens forarbeider angående hvordan begrepet sensitive opplysninger skal forstås. Videre ble det ettersendt en ytterligere presisering av klagen og en subsidiær anmodning om å opprette registeret midlertidig i medhold av konsesjon.

5 Datatilsynets vurdering

5.1 Datatilsynets avslag

En sentral intensjon med helseregisterloven var å styrke det rettslige grunnlaget for å kunne benytte helseopplysninger for andre formål enn til helsehjelp. Helseregisterloven gir derfor flere rettslige grunnlag, for å opprette helseregistre. Ut fra en samlet vurdering oppfattet Datatilsynet at konsesjon ikke var egnet som rettslig grunnlag for registeret. Ved at flere av registrene som skal omfattes av NOKBIL er tentative synes heller ikke planleggingsprosessen å være avsluttet. Datatilsynet vurderte at helseregisterlovens § 8, som gir hjemmel til å opprette sentrale/nasjonale helseregistre, burde vært vurdert som rettslig grunnlag for dette registerkomplekset. Datatilsynets avslag er derfor begrunnet med at konsesjon etter helseregisterloven § 5 ikke er det korrekte rettslige grunnlaget for registeret og at både det rettslige grunnlaget og registerkomplekset som sådan burde utredes ytterligere.

5.2 Sammendrag av fakta om registeret

NOKBIL skal registrere, kvalitetssikre og prosessere data om samtlige pasienter med autoimmune sykdommer og kroniske inflammatoriske tilstander som mottar behandling med biologiske legemidler og legemidler med tilsvarende funksjon i Norge.

5.2.1 Formålet med registeret

Overordnet formål med NOKBIL er god, sikker, likeverdig og kostnadseffektiv behandling av sykdomsgruppen. Registeret skat sikre fagfeltene gode data om bruken av biologiske legemidler ved autoimmune og kroniske inflammatoriske sykdommer, samt tilrettelegge for forskning. Formålet med registeret er å:

1. fremskaffe og overvåke administrative data tilknyttet forbruket av biologiske legemidler ved autoimmune sykdommer og kroniske inflammatoriske tilstander innen ulike fagområder
2. fremskaffe og overvåke data om sikkerhet (bivirkninger, "adverse reactions") ved bruk av biologiske legemidler
3. fremskaffe data som kan brukes til å kvalitetssikre og forbedre bruken av biologiske legemidler, sett i relasjon til nasjonale retningslinjer der slike er etablert
4. evaluere kostnad-nytte forhold ved bruk av biologiske legemidler
5. bidra til forskning og kvalitetsutvikling bl.a. gjennom koblinger mot andre nasjonale og internasjonale registre.

5.2.2 Registerform

NOKBIL skal være et avidentifisert nasjonalt register. NOKBIL skal organiseres som et "fellesregister" i samsvar med føringer gitt i ''Nasjonalt Helseregisterprosjekt". NOKBIL er basisregisteret i dette fellesregisteret og kvalitetsregistre fra ulike fagområder skal integreres med basisregisteret. NOKBIL skal baseres på skriftlig samtykke fra den enkelte pasient. Registerløsningen for basisregisteret organiseres med lokale registreringsenheter ved hvert helseforetak, som så overfører informasjon til en sentral, landsdekkende server hvor nasjonale registerdata blir akkumulert.

Oversikten over aktuelle registre som skal integreres i fellesregistermodellen er tentative og omhandler derfor også registre som ennå ikke er opprettet, eller besluttet opprettet. De aktuelle registrene som skal tilkobles NOKBIL skal anses som selvstendige kvalitetsregistre med egne databehandlingsansvarlige enheter.

5.2.3 Følgende kvalitetsregistre er delregistre i fellesregisteret NOKBIL

Disse kvalitetsregistre er en del av NOKBIL:

• Norsk MS-register & biobank, opprettet i 1998, Haukeland
• Norsk Barnerevmaregister NOBAREV, under etablering med antatt databehandlingsansvar ved OUS
• Norsk artrittregister NorArtritt, under etablering med antatt databehandlingsansvar ved Haukeland
• Norsk vaskulitt- og bindevevsregister, forslag om etablering, ikke avklart databehandlingsansvar
• Norsk kvalitetsregister for inflammatorisk hudsykdom, under utvikling, ikke avklart databehandlingsansvar
• Norsk kvalitetsregister for inflammatoriske tarmsykdommer (IBDNOR), er under etablering, ikke avklart databehandlingsansvar
• Norsk nefrologisk register, diskuteres å opprette
• Norsk kvalitetsregister for inflammatoriske øye- og orbitasykdommer, diskuteres for mulig etablering

5.2.4 Samtykket

Samtykket innhentes ved det enkelte helseforetak og/eller avtalespesialist som gir helsehjelp til pasienter som mottar behandling med forhåndsdefinerte biologiske legemidler og ved forhåndsdefinert relevant diagnose. Intensjonen er at alle pasienter som behandles med biologiske legemidler innenfor de definerte diagnosegruppene skal inkluderes. Pasienter som ikke samtykker skal ikke inkluderes og hvis pasienten flytter ut av landet eller trekker sitt samtykke stanser videre oppfølging i registeret. Samtykket omfatter også innhenting av opplysninger fra pasientjournal, samt koblinger mot nasjonale helseregistre, personopplysninger fra FD-trygd, SSB, skattedatabasen, befolkningsundersøkelser og biobanker, herunder 4 utenlandske registre. Koblingene skal primært benyttes for forskningsformål. Det gis omfattende informasjon i samtykkeskjemaet som pasienten skal undertegne. Samtykket er bredt og gjøres betinget av at aktuelle forskningsprosjektene er godkjent av aktuelle myndigheter.

5.2.5 Varighet

Registeret skal være permanent.

5.2.6 Databehandleransvar

St. Olavs Hospital er databehandlingsansvarlig for NOKBIL og det enkelte helseforetak er databehandlingsansvarlig for sin lokale registreringsenhet som skal overføre opplysninger til NOKBIL.

5.2.7 Variablene

Innholdet i variablene i NOKBIL skal være et meningsfullt minste felles multiplum av variabler ved aktuelle diagnoser innen relevante fagområder. Disse variablene skal derfor gjenfinnes i de tilkoblede faglige kvalitetsregistrene. Variablene består av:

• administrative data for pålogging
• pasientens fødselsnummer og kommunetilhørighet
• utdanning, mykestatus og vekt
• ICD-I0 og diagnosetidspunkt
• komorbide tilstander
• medikamentopplysninger, opplysninger om tidligere behandling med biologiske legemidler og andre legemidler som brukes samtidig
• helserelatert livskvalitet EQ-SD-SL som registreres via webserver fra EuroQol
• registrering av uønskede medisinske hendelser og bivirkninger av behandlingen
• oppfølgingsvariabler, justeringer av data i forbindelse med endringer.

Registrering og justering av data i registeret for å sikre korrekt kvalitet på opplysningene vil foregå i tett samarbeid med pasienten i tilknytning til pasientkonsultasjoner.

5.2.8 Aktuelle koblinger med andre registre og befolkningsundersøkelser

For de formål NOKBIL skal betjene kan det innhentes data fra følgende registre ved kobling:

• Medisinsk Fødselsregister
• Dødsårsaksregisteret
• Kreftregisteret
• Reseptregisteret
• Norsk hjerteinfarktregister
• Norsk Pasientregister
• FD Trygd
• Forsvarets helseregister
• Skattedirektoratets databaser
• Registre i Statistisk sentralbyrå
• Nasjonalt Hjerte- og karregister
• Tuberkuloseregisteret
• Nyrebiopsiregisteret
• Nasjonalt register for leddproteser
• REVNATUS revmatiske sykdommer hos gravide/nyfødtperioden
• HUNT med biobank
• Tromsøundersøkelsen med biobank
• HUSK
• HUbrO
• OPPHED
• CONOR-databasen
• Regional forskningsbiobank Midt-Norge
• MSIS

Følgende registre i andre land:

• DANBIO (Dansk revmatologisk biologisk legemiddelregister)
• ARTIS (Svensk revmatologisk biologisk legemiddelregister
• BSRbr (Britisk revmatologisk biologisk legemiddelregister)
• EQ-5D-5L (helserelatert livskvalitet) som registreres via webserver fra EuroQol, og hvor opplysningene skal overføres avidentifisert til USA

Begrunnelse for kobling med de nevnte registrene er å sikre kvalitet i registeret samt muligheter for solid datagrunnlag for kvalitetsstudier og forskningsprosjekter.

5.2.9 Om organisering, informasjonssikkerhet og bruk av registeret

NOKBIL skal benytte Medisinsk Registreringssystem (MRS) og det er vedlagt fyldig informasjon om informasjonssikkerhet, herunder risikovurdering av systemet. Det er derfor ikke ivaretakelse av informasjonssikkerhet som danner grunnlag for Datatilsynets avslag på søknaden.

5.3 Datatilsynets behandling av klagen

Denne saken er av prinsipiell betydning for når helseregisterlovens spesielle bestemmelser om opprettelse av nasjonale helseregistre kommer til anvendelse og om og eventuelt når konsesjon er et egnet rettslig grunnlag for slike registre. Vurderingene av krav til rettslig grunnlag for registeret var avgjørende for Datatilsynets vedtak om å avslå søknaden. Datatilsynet begrenser derfor behandlingen av klagen til behandling av det rettslige grunnlaget for registeret.

Det rettslige grunnlaget for å behandle helseopplysninger elektronisk og å opprette helseregistre følger av helseregisterloven. Det rettslige grunnlaget for å opprette nasjonale helseregistre for andre formål enn helsehjelp er først og fremst regulert i helseregisterloven § 8. Subsidiært kan helseregisterloven § 5 med henvisning til konsesjonsregulering i medhold av personopplysningsloven anvendes for visse typer midlertidige registre. Lovforarbeidene definerer enkelte prinsipper for hvilke forhold ved et register som krever forskrift eller konsesjon. Både Regjeringens lovproposisjon Ot.prp.nr.5 (1999-2000) og Stortingets komiteinnstilling Innst.O.nr.62 (2000-2001) må legges til grunn for en fortolkning, fordi Stortinget vedtok relativt omfattende endringer av regjeringens opprinnelige lovforslag. I Ot.prp.nr.5 (1999-2000) s. 91 omtales hjemmelen for å opprette sentrale helseregistre i medhold av lovforslagets § 8: "Bestemmelsen er ment å styrke hjemmelsgrunnlaget for behandling i store landsomfattende helseregistre" og at "… bestemmelsen også er ment å omfatte kvalitetsregistre, selv om disse ofte vil være mindre hva angår antall registrerte". På side 92 i samme proposisjon uttaler departementet at "…sykdomsregistre og kvalitetsregistre som omfatter flere diagnosegrupper over hele befolkningen bør reguleres i forskrift av Kongen i statsråd. Mindre omfattende helseregistre som avdekker en ikke spesielt sensitiv sykdomsgruppe bør derimot ikke nødvendiggjøre forskrift av regjeringen." Departementet uttaler videre at helseregistre som bare skal eksistere i kort tid bør kunne opprettes etter konsesjon fra Datatilsynet, dvs med hjemmel i helseregisterlovens § 5 jf. personopplysningsloven §§ 9 og 33.

Stortinget skjerpet kravene til rettslig grunnlag for å opprette helseregistre. Regjeringens adgang til å regulere helseregistre i medhold av forskrift ble begrenset ved at registre som ikke var basert på samtykke skulle ha hjemmel i lov fremfor forslaget om adgang til å forskriftsregulere slike registre. Stortinget uttalte seg imidlertid ikke eksplisitt om hvilken betydning de skjerpede kravene skulle medføre for Datatilsynets adgang til å opprette helseregistre ved konsesjon. Det er likevel ikke tvil om at både Regjeringen og Stortinget hadde et felles mål, å styrke det rettslige grunnlaget for å opprette sentrale helseregistre. Det er dette hovedhensynet som ligger til grunn for opprettelsen av en særlov for helseregisterområdet.

Datatilsynet anser derfor ikke hjemmelen i helseregisterloven § 5 for å være likestilt med spesialbestemmelsen i § 8, for å opprette sentrale helseregistre. Datatilsynet legger til grunn at § 5 i hovedsak angir minimumsvilkår for å kunne behandle helseopplysninger, og er for eksempel egnet for midlertidige forskningsprosjekter som ikke omfattes av helseforskningsloven. Helseregisterloven § 8, 1 ledd gir Regjeringen adgang til å opprette samtykkebaserte, eller avidentifiserte eller pseudonyme sentrale helseregistre ved forskrift. Datatilsynet legger derfor til grunn at det er denne spesialbestemmelsen for opprettelse av sentrale helseregistre som skal benyttes for det sentrale fellesregisteret NOKBIL. Ved tvil om § 5 eller de spesielle bestemmelsene i § 8 skal benyttes for opprettelse av et register, følger det av alminnelige juridiske fortolkningsprinsipper at de spesielle bestemmelsene gis forrang. Under enhver omstendighet tilsier bestillingen fra Helse- og omsorgsdepartementet til de regionale helseforetakene at de ulike rettslige grunnlag for å opprette dette registeret burde vært utredet. Tilsynet mener dette underbygges av de delene som er gjengitt av Helse- og omsorgsdepartementets mandat til de regionale helseforetakene i den vedlagte protokollen til søknaden om registeret: «Siden biologiske legemidler brukes av flere fagfelt (voksen- og barnerevmatologi, hud, gastroenterologi, øye og nevrologi), er et kvalitetsregister for biologiske legemidler en sammensatt utfordring. Ett register for flere fagfelt og ulike pasientgrupper bryter med de vanlige prinsippene for oppbygging av kvalitetsregistre».

Helse- og omsorgsdepartementet bebudet i 2005 at kvalitetsregistre skulle reguleres i forskrift. I påvente av slik regulering har Datatilsynet gitt konsesjoner for «tradisjonelle» kvalitetsregistre. Slike kvalitetsregistre har vært nært knyttet til de kliniske fagmiljøenes initiativ og bruk i pasientbehandlingen. Helseopplysningene i disse registrene er utfyllende og mer detaljerte enn det som blir nedtegnet i en pasientjournal og fungerer som en støttefunksjon for videreutvikling av fagmiljøenes behandlingsmetoder. Formålet har tradisjonelt vært tett knyttet til å yte helsehjelp til den aktuelle pasientgruppen.

Ettersom den forventede forskriftsreguleringen ikke er kommet fra Helse- og omsorgsdepartementet, og på bakgrunn av senere søknader om opprettelse av kvalitetsregistre som markerer seg som nye typer registre innenfor kvalitetsområdet, har Datatilsynet gjennomgått sin praksis på området. Gjennomgangen viser at utviklingen går i retning av at grensen viskes ut mellom medisinske kvalitetsregistre og øvrige nasjonale/sentrale registre som krever selvstendig lovhjemmel og/eller forskrift. Innretningen av registeret NOKBIL er et tydelig eksempel på denne utviklingen.

Datatilsynet ser det som uheldig at konsesjonsinstituttet blir benyttet som en «reserveløsning» for å etablere sentrale helseregistre som har selvstendig hjemmel i særlov. Tilsynet ser ikke at en slik reserveløsning er i samsvar med Stortingets og Regjeringens intensjon om å styrke det rettslige grunnlaget for helseregistre. Større og varige helseregistre bør opprettes etter forvaltningslovens prosessuelle regler for vedtak i forskrifts form, en slik behandlingsform ivaretar også hensynene til notoritet- og publisitet.

Tilsynet har vurdert klagers subsidiære søknad om å opprette NOKBIL som et selvstendig, midlertidig register i medhold av konsesjon. NOKBIL er helt avhengig av å motta data fra de underliggende registrene over flere sykdomsgrupper. Ut fra dette må registerkomplekset vurderes i sin helhet. Tilsynet kan derfor ikke se at det er hensiktsmessig å gå inn på ytterligere drøftelser knyttet til en midlertidig opprettelse av registeret.

Datatilsynet har vurdert klagers anførsler om at registeret likevel skal kunne opprettes ved konsesjon, men finner ikke holdepunkter for å endre det påklagede vedtaket. Tilsynet mener å ha redegjort for at konsesjon ble vurdert som uegnet for NOKBIL både i råd- og veiledningsmøtet sommeren 2012 og ved den første behandlingen av søknaden.

6 Personvernnemndas merknader

Spørsmålet som Personvernnemnda skal ta stilling til er om konsesjon etter helseregisterloven § 5, jf personopplysningsloven, er det korrekte rettslige grunnlaget for helseregisteret NOKBIL eller om helseregisterloven § 8, som gir hjemmel til å opprette sentrale/nasjonale helseregistre ved forskrift, er det korrekte rettslige grunnlag for dette registerkomplekset.

Datatilsynets avslag på konsesjonssøknaden er begrunnet med at konsesjon etter helseregisterloven § 5 ikke er det korrekte rettslige grunnlaget for registeret og at både det rettslige grunnlaget og registerkomplekset som sådan burde utredes ytterligere, jf helseregisterloven § 8.

Personvernnemnda er enig med Datatilsynet i denne saken. Dette er et stort, landsomfattende, internasjonalt og permanent forskningsprosjekt. Rettslig grunnlag for slike registre er forskrift, jf helseregisterloven § 8.

Det følger av Ot prp nr 5 (1999-2000) pkt 8.2.4:

Forslaget innebærer at Kongen i Statsråd kan etablere nye sentrale landsomfattende helseregistre. Sentrale helseregistre er store landsomfattende helseregistre som opprettes for at den sentrale helseforvaltningen skal kunne ivareta sitt ansvar og sine oppgaver. Det skal fremgå av forskriften hvilke formål behandlingen av helseopplysningene skal ivareta. Videre foreslås at forskriften også bør fastsette bestemmelser om den behandlingsansvarliges plikt til å gjøre data tilgjengelig for at formålene kan nås. (…)

Høringsutkastet foreslår at departementet er behandlingsansvarlig for slike helseregistre, og at behandlingsansvaret kan delegeres. Det forutsettes at helseregistre som opprettes i henhold til forskriften, ikke trenger tillatelse fra Datatilsynet, men Datatilsynet skal ha melding om behandling av helseopplysninger som foretas med hjemmel i forskriften.

Etter nemndas syn er sentrale landsomfattende helseregistre spesialregulert i § 8. Man kan derfor ikke omgå denne bestemmelsen ved å bruke § 5 om konsesjon. Det fremgår av forarbeidene at det har vært lovgivers intensjon at slike registre skal opprettes i henhold til forskrift. Videre leser nemnda henvisningen i § 5 som en henvisning til spesiallover, ikke til personopplysningslovens generelle bestemmelse om å gi konsesjon i §§ 9 og 33.

Nemnda mener derfor at et sentralt og permanent helseregister som NOKBIL må ha hjemmel i helseregisterloven § 8.

7 Vedtak

Klagen tas ikke til følge.

Oslo, 27. juni 2014

Eva I E Jarbekk
Leder