Personvernnemndas avgjørelse av 20. november 2017 (Mari Bø Haugstad, Bjørnar Borvik, Gisle Hannemyr, Hans Marius Graasvold, Line Coll, Hans Marius Tessem, Ellen Blinkenberg)
1 Innledning
Saken gjelder spørsmålet om det er Datatilsynet eller Regional komité for medisinsk og helsefaglig forskningsetikk (REK) som er rett instans til å behandle en søknad om forlengelse av konsesjon i NORCCAP-prosjektet, og eventuelt fastsette vilkår for en slik forlengelse.
2 Sakens bakgrunn og faktum
NORCCAP-prosjektet er et medisinsk forskningsprosjekt som undersøker effekten av screening for tarmkreft og forstadier til tarmkreft. Hensikten med studien er å undersøke om sigmoidoskopiscreening (kikkertundersøkelse av nedre del av tykktarm) kan redusere antall dødsfall på grunn av tarmkreft.
Studien gjennomføres ved at et tilfeldig utvalg personer trukket fra folkeregisteret ble invitert til å delta i screening (intervensjonsgruppe). Personene i intervensjonsgruppen blir sammenlignet med et tilsvarende utvalg fra folkeregisteret, som ikke blir invitert til screening (kontrollgruppe). Etter noen år kobles dataene fra begge gruppene mot Kreftregisteret og Dødsårsaksregisteret.
NORCCAP-prosjektet ble opprinnelig gitt konsesjon fra Datatilsynet i 1998 med varighet til desember 2016. Konsesjonen stilte vilkår om samtykke til innsamling og lagring av personopplysningene fra intervensjonsgruppen, men tillot at kontrollgruppen ikke ble informert om prosjektet. Konsesjonen forutsatte videre at personopplysningene i prosjektet ble anonymisert eller slettet innen 31. desember 2016. Den 9. mai 2000 ga Datatilsynet samtykke til utvidelse av konsesjonen. Utvidelsen gjaldt endringer i screeningpopulasjonen og forlengelse av rekrutteringsperioden med ett år. Datatilsynet forlenget samtidig varigheten av konsesjonen til 31. desember 2017.
Den opprinnelige konsesjonen fra Datatilsynet ble gitt til Telemark Sentralsjukehus som databehandlingsansvarlig. I forbindelse med kreftregisterforskriftens ikrafttreden (1. januar 2002) besluttet Sosial- og helsedepartementet at ansvaret for den videre oppfølgingen av NORCCAP skulle overføres til Kreftregisteret. Etter dette oppstod det uklarhet om rettsgrunnlaget for forskningsprosjektet. Det var uklart om prosjektet var regulert av konsesjon fra Datatilsynet (helseregisterloven § 5, jf. personopplysningsloven § 33) eller om det var regulert av kreftregisterforskriften (helseregisterloven § 8, jf. kreftsregisterforskriften). I desember 2002 (i forbindelse med at personopplysningsloven hadde trådt i kraft) søkte Kreftregisteret om fornyelse av konsesjonen via Norsk samfunnsvitenskapelig datatjeneste (NSD, nå Norsk senter for forskningsdata). I søknaden ble det bedt om at dataene etter 31. desember 2016 skulle arkiveres i personidentifiserbar form, for eksempel hos NSD, for å gjøre det mulig med ytterligere oppfølging på et senere tidspunkt dersom det skulle være aktuelt. Datatilsynet konkluderte med at den ikrafttrådte kreftregisterforskriften erstattet den opprinnelig konsesjonen, og behandlet ikke søknaden.
Kreftregisterforskriften tillater behandling av helseopplysninger om personer som har deltatt i undersøkelsesprogram for tidlig diagnose og kontroll for kreftsykdom (screening). Forskriften har imidlertid ingen bestemmelser som hjemler behandling av personopplysninger hos en kontrollgruppe som er tilfeldig utvalgt fra folkeregisteret og som ikke er kjent med at opplysninger om dem brukes i forskning (ved kobling mot Kreftregisteret og Dødsårsaksregisteret), slik det er lagt opp til i konsesjonen for NORCCAP. Dette forholdet ble ikke problematisert verken fra Datatilsynet eller fra Kreftregisterets side i 2002/2003.
I desember 2009 skriver Datatilsynet til Kreftregisteret og reiser spørsmål om den rettslige reguleringen av NORCCAP-prosjektet. Datatilsynet skriver:
«Datatilsynet legger etter dette til grunn at kreftregisterforskriften regulerer Kreftregisterets behandling av personopplysninger til NORCCAP. Med hjemmel i helseregisterlovens § 31 ber Datatilsynet om en redegjørelse for hvordan registreringen i NORCCAP oppfyller kreftregisterforskriftens krav til rettslig grunnlag. Dette gjelder for opplysninger om personer som deltok i undersøkelsen, med negativt funn, og personer som ikke møtte/deltok i undersøkelsen, men var en del av kontrollgruppen»
Kreftregisteret gir i sitt svar uttrykk for at det fortsatt er den konsesjonen Datatilsynet ga 8. mai 1998 som regulerer prosjektet, og ikke kreftregisterforskriften. De anfører videre at prosjektet pr 1. juli 2009 (da helseforskningsloven trådte i kraft) faller inn under helseforskningslovens bestemmelser.
Helseforskningsloven § 33 lyder:
«Forskningsprosjekter skal ha et behandlingsgrunnlag. Forhåndsgodkjenning fra den regionale komiteen for medisinsk og helsefaglig forskningsetikk etter kapittel 3 er nødvendig og tilstrekkelig behandlingsgrunnlag for helseopplysninger i medisinsk og helsefaglig forskning.»
Datatilsynet endrer etter dette sin vurdering og konkluderer med at NORCCAP er regulert av konsesjonen (helseregisterloven § 5, jf. personopplysningsloven § 33), og ikke kreftregisterforskriften (helseregisterloven § 8, jf. kreftsregisterforskriften). I Datatilsynets brev til Kreftregisteret 19. januar 2010 uttaler tilsynet at «det er mye som taler for at NORCCAP er å anse som et helseregister som fremdeles reguleres av helseregisterloven, snarere enn et enkeltstående forskningsprosjekt som reguleres av helseforskningsloven.» Tilsynet «vil særlig peke på det forhold at opplysningene skal oppbevares på ubestemt tid, og i identifiserbar form, etter prosjektslutt». Personvernnemnda bemerker at dette synes å bygge på en misforståelse idet det ikke følger av den opprinnelige konsesjonen at personidentifiserbare opplysninger skulle oppbevares på ubestemt tid.
Det fremgår videre at Datatilsynet anbefaler «Kreftregisteret å vurdere dette spørsmålet på nytt, og eventuelt legge lovvalgspørsmålet frem for REK.» De påpeker videre at det er REK som i tvilstilfeller (iht forarbeidene til helseforskningsloven) skal treffe beslutninger om hvorvidt en behandling faller inn under helseforskningslovens anvendelsesområde. Datatilsynet konkluderer etter dette med at konsesjonen av 28. september 1998 fortsatt gjelder og er videreført, med de endringer som senere er godkjent av Datatilsynet. De ber også om at eventuelle endringer som har funnet sted etter 3. juli 2003 meldes Datatilsynet, slik det er forutsatt i konsesjonen. Videre sier Datatilsynet: «Dersom det er avklart at behandlingen nå reguleres av helseforskningsloven, skal eventuelle endringer som har funnet sted etter 1. juli 2009 i stedet meldes til REK, i henhold til helseforskningslovens bestemmelser. Det samme gjelder eventuelle fremtidige endringer.»
I november 2010 søkte Kreftregisteret REK om forhåndsgodkjenning av en endring i NORCCAP-prosjektet. Kreftregisteret ba om forhåndsgodkjenning til å innhente opplysninger fra sykehusjournaler på deltakere som utviklet tarmkreft i oppfølgingstiden, uten å innhente samtykke om dette fra deltakerne. REK ga slik godkjenning i januar 2011 og innvilget dispensasjon fra taushetsplikten etter helseforskningsloven § 35.
Den 9. mars 2016 søkte Kreftregisteret Datatilsynet om forlengelse av konsesjonen til å behandle personopplysninger i NORCCAP-prosjektet frem til 31. desember 2036. For ordens skyld bemerkes at både Datatilsynet og Kreftregisteret synes å legge til grunn at nåværende konsesjon forutsetter sletting av personopplysningene innen 31. desember 2016, og er ikke oppmerksomme på endringen i 2000 hvor Datatilsynet samtykket blant annet til en utvidelse av varigheten av prosjektet til 31. desember 2017.
I Kreftregisterets redegjørelse til Personvernnemnda 13. oktober 2017 opplyser Kreftregisteret at bakgrunnen for at de sendte søknaden om forlengelse av konsesjonen til Datatilsynet, var at den opprinnelige tillatelsen var basert på konsesjon. De er i ettertid blitt i tvil om søknaden om forlengelse skulle ha vært fremmet for REK, og ikke Datatilsynet.
3 Saksgangen
Datatilsynet forlenget konsesjonens varighet til 31. desember 2036 i vedtak 21. juni 2016, men satte som vilkår at det innhentes nye samtykker fra de registrerte.
Kreftregisteret sendte, innen klagefristens utløp, en anmodning om omgjøring av vedtak/klage vedrørende vilkåret om å innhente nye samtykker fra de registrerte.
Personvernnemnda mottok saken 7. juli 2017. Kreftregisteret ble orientert om dette i brev fra nemnda, med frist for uttalelse 8. august 2017. I brev 28. september 2017 ba Personvernnemnda om ytterligere opplysninger fra Kreftregisteret og Datatilsynet og ba særlig om deres syn på spørsmålet om det rettslige grunnlaget for NORCCAP-prosjektet. Kreftregisteret ga sine merknader i brev 13. oktober 2017. Datatilsynet har ikke gitt ytterligere uttalelse.
4 Kreftregisterets anførsler
Etter helseforskningslovens ikrafttreden (1. juli 2009) er Kreftregisteret av den oppfatning at NORCCAP reguleres av helseforskningsloven. NORCCAP er ikke et basisregister som har som formål å utlevere opplysninger til andre forskingsprosjekter, men er et selvstendig forskningsprosjekt med et konkret formål. Denne oppfatningen kan illustreres ved at søknad om endringer i prosjektets metode som har funnet sted etter helseforskningslovens ikrafttredelse, er fremmet overfor REK. Det samme gjaldt søknad om godkjenning til å innhente opplysninger fra sykehusjournaler for deltakere som utviklet tarmkreft i oppfølgingstiden, og hvor REK innvilget dispensasjon fra taushetsplikten til behandling etter helseforskningsloven § 35.
At Kreftregisteret har søkt Datatilsynet om forlengelse av konsesjonen har sammenheng med at den opprinnelige tillatelsen var basert på konsesjon (med tilråding fra REK). I ettertid er Kreftregisteret i tvil om også søknad om forlengelse, som denne saken gjelder, skulle vært fremmet for REK istedenfor Datatilsynet.
NORCCAP reguleres ikke av kreftregisterforskriften. Dersom NORCCAP hadde vært regulert at kreftregisterforskriften ville den vært regulert av kreftregisterforskriften § 1-9, jf. § 1-2 tredje ledd, som gjelder screening. NORCCAP skiller seg fra de andre screeningprogrammene i Kreftregisteret som reguleres av kreftregisterforskriften på flere måter. NORCCAP er en randomisert klinisk studie med et konkret forskningsformål: å studere om screeningmetoden som benyttes, vil redusere risiko for utvikling og død av tarmkreft. En annen forskjell er at det bare er de som inviteres til screening (intervensjonsgruppen), som er informert om, og har samtykket til deltakelse i studien, mens kontrollgruppen bare følges passivt gjennom registerkoblinger. I de andre screeningprogrammene (som reguleres av kreftregisterforskriften) registreres kun opplysninger om deltakere i screening. Kreftregisterforskriften gir altså ikke hjemmel for å oppbevare personopplysninger om kontrollgruppen. Ettersom NORCCAP er basert på samtykke vil heller ikke bestemmelsen om reservasjonsrett som knytter seg til normale funn i screeningprogrammene, være anvendelige, da samtykkene allerede er avgitt, og det da i stedet vil dreie seg om tilbaketrekking av samtykker.
NORCCAP, som den eneste populasjonsbaserte screeningsstudien i verden, er det eneste prosjektet som kan gi et korrekt bilde av forventet effekt ved innføring av et slikt screeningprogram. NORCCAP har avdekket svakheter og forbedringspotensial ved screeningalternativer, men man har ikke så langt sett den endelige effekten av screeningen.
Ingen hadde forventet at effekten av én runde med sigmoidoskopiscreening skulle vare lenger enn konsesjonstiden på 15 år. Etter 15 år fortsetter imidlertid kurvene for intervensjonsgruppen og kontrollgruppen å sprike. Det er derfor behov for mer enn 15 års oppfølging for å gi svar på hvor stor effekten kan bli. Dersom prosjektet ikke forlenges mistes mange år med kunnskapsformidling til publikum og målgruppene for screening.
Et krav om samtykke slik Datatilsynet har stilt vilkår om, vil ikke være praktisk gjennomførbart. Det vil også gi betydelig skjevdeling i gjenværende utvalg, som gjør videre oppfølging i prosjektet verdiløs i forhold til hovedendepunktene (forekomst av tarmkreft og død grunnet tarmkreft). Det vil bli stort frafall blant dem som er mest utsatt for tarmkreft på grunn av livsstil. Det betyr at fortsettelsen av prosjektet vil være uten verdi med hensyn til å speile hvordan screeningprogram med sigmoidoskopi vil fungere.
Subsidiært anføres det at det samtykket som er innhentet er tilstrekkelig for fortsatt lagring. I invitasjonsbrevet med tildeling av time til screeningundersøkelse fremgår det:
«Forekomsten av kreft og eventuell død vil bli fulgt i 15 år ved kobling til Kreftregisteret og dødsårsaksregisteret. Etter den tid avsluttes prosjektet, og det innsamlede datamaterialet slettes. Dersom prosjektledelsen ønsker å forlenge prosjektet til etter 2016, vil du bli bedt om å avgi en ny samtykkeerklæring.»
I informasjonen som ligger til grunn for samtykkene angis imidlertid ikke tidsbegrensning på oppbevaring av opplysninger. Oppbevaring av prøvemateriell er dessuten eksplisitt angitt i samtykkeerklæringen til at
«jeg samtykker i at blodprøvene oppbevares på ubestemt tid».
Det må forstås slik at også tilhørende opplysninger som inngår i registeret omfattes av samtykket. Det stemmer også med hva Datatilsynets selv la til grunn i sitt brev av 9. januar 2010 hvor de peker på at «opplysningene skal oppbevares på ubestemt tid, og i identifiserbar form».
Det oppgis videre i informasjonsmateriellet at
«du kan når som helst reservere deg mot at opplysningene om deg brukes i forskning».
Opplysningene kan derfor fortsatt oppbevares uten innhenting av nye samtykker.
Konsekvensene av tilsynets vilkår om at det må innhentes nye samtykker vil være negative for registeret. Det vil være mange registrerte som er døde, og det vil være mange som ikke kommer til å besvare forespørsler om nye samtykker. Det er fare for at frafallet vil medføre at utvalget blir skjevt og overrepresentert av lavrisikopersoner. Datamaterialet vil ikke bli komplett og det vil få negativ innvirkning på undersøkelsens validitet. Fra et folkehelseperspektiv er det uvurderlig at konsesjonen for undersøkelsen forlenges uten at det stilles krav om nye samtykker fra deltakerne i tillegg til de samtykkene som allerede er gitt.
Alternativt anmodes det om at det åpnes for en reservasjonsrett kombinert med informasjon til deltakerne. Informasjon kan gis på Kreftregisterets og Kreftforeningens hjemmesider. Alternativt kan individuell informasjon sendes de deltakerne som møtte til screening i 1999-2001. En løsning med reservasjonsrett er det eneste alternativet som både ivaretar personvernet og datakvaliteten i studien. I tillegg har prosjektet betydelige samfunnsmessige interesser, herunder også et folkehelseperspektiv.
5 Datatilsynets vurdering
Datatilsynets vedtak 21. juni 2016 krever at det innhentes nye samtykker som premiss for forlengelse av konsesjon til å behandle personopplysninger i NORCCAP-prosjektet.
Datatilsynet har ikke tatt stilling til om kreftregisterforskriften regulerer behandlingen av data i NORCCAP. Tilsynet oppfatter at dette er et tolkningsspørsmål som ligger utenfor deres kompetanseområde. Tilsynet påpeker at dersom forskriften kommer til anvendelse, vil premissene for behandling av opplysninger i prosjektet blant annet følge av helseregisterloven § 11 tredje ledd.
Datatilsynet presiserer videre at klagen gjelder kravet om at behandling av opplysninger skal være basert på samtykke fra de registrerte som behandlingsgrunnlag, jf. helseregisterloven § 7, jf. § 6. Konsesjon er gitt med hjemmel i helseregisterloven § 7, jf. personopplysningsloven §§ 33-35, mens kravet om behandlingsgrunnlag følger av § 6.
Datatilsynet vurderte i vedtaket om det ville være tilstrekkelig å gi de registrerte informasjon med en mulighet for reservasjon mot videre deltakelse i registeret (opt-out). Tilsynet kom til at det var nødvendig å innhente nye samtykker. Tilsynet la særlig vekt på at de registrerte, i informasjonen som ble gitt forut for det opprinnelige samtykket, ble opplyst om at eventuell forlengelse av prosjektet ville skje etter at det innhentes nye samtykker. De registrerte hadde ved inkludering fått informasjon om at prosjektet skal avsluttes innen utgangen av 2016. En utvidelse på 20 år er etter Datatilsynets vurdering betydelig i forhold til rekkevidden av det opprinnelige samtykket.
Datatilsynet viste i vedtaket til Personvernnemndas avgjørelse i sak PVN-2013-17 (Tvillingregisteret), hvor nemnda presiserer at en uttrykkelig oppbevaringstid og sluttdato spesifisert i et samtykkeskjema skal overholdes. Nemnda begrunner sin avgjørelse blant annet i at deltakere som har gitt slike spesifikke og avgrensede samtykker har en forventning om at de deltar i et prosjekt som skal avsluttes innen en viss tid. Nemnda uttaler at det ikke kan utelukkes at dette kan ha vært avgjørende for den registrerte som har samtykket til deltakelse i prosjektet.
Datatilsynet har ikke stilt spørsmål ved prosjektets nytteverdi, men la i avveiningen avgjørende vekt på personvernulempene det ville medføre for de registrerte dersom det ikke innhentes samtykker til fortsatt behandling av personopplysninger.
Datatilsynet har ikke konkret vurdert behandlingsgrunnlag for kontrollgruppen i søknaden, men er enig med klager i at det ikke er aktuelt å innhente samtykker fra disse. Tilsynet er også enig i at samtykkene skal vurderes ut fra de kravene som var gjeldende på den tiden de ble avgitt. Dette har imidlertid ikke betydning for varigheten av de aktuelle samtykkene i prosjektet.
Datatilsynet er ikke enig i at det er avgitt samtykke til behandling av data i NORCCAP på ubestemt tid. Tilsynet mener at de avgitte samtykkene har en klar avgrensning, og at de registrerte er gitt en forventning om at de ville bli spurt på nytt dersom det ble aktuelt med en utvidelse. Utvidelsen og forlengelsen av konsesjonen ble derfor gitt med betingelse om at det ble innhentet nye samtykker fra de registrerte.
Tilsynet bemerker at den opprinnelige konsesjonen var betinget av samtykke som behandlingsgrunnlag. Søknaden fra Kreftregisteret innebærer derfor i realiteten en endring av behandlingsgrunnlag, og det var dermed nødvendig med endring av den opprinnelige konsesjonen.
Datatilsynet har forståelse for at kravet om nye samtykker har konsekvenser for gjennomføringen og videreføringen av NORCCAP-prosjektet. Tilsynet påpeker at Kreftregisteret ikke har anført alternative tiltak for behandlingen av personopplysninger som kunne ha redusert ulempene ved å gjennomføre prosjektet slik de ønsker.
Tilsynet har lagt avgjørende vekt på at samtykkene har vært tydelig og klart avgrenset, og at det vil innebære en betydelig personvernulempe ikke å respektere den tillatelsen de registrerte har gitt til bruk av sine data. Slik behandling kan ikke tillates, jf. personopplysningsloven § 34, jf. § 33.
6 Personvernnemndas syn
Klagen gjelder hvorvidt det skal stilles vilkår om innhenting av nye samtykker fra de registrerte ved en forlengelse av NORCCAP-prosjektet til 31. desember 2036. Før man kommer til den vurderingen, er det nødvendig å ta stilling til det rettslige grunnlaget for behandling av personopplysninger i NORCCAP-prosjektet. Personvernnemnda legger til grunn at det er tre alternative regelverk som kan regulere behandling av helseopplysninger i NORCCAP-prosjektet: helseforskningsloven, kreftregisterforskriften (helseregisterloven § 8 jf. kreftregisterforskriften § 1-9, jf. § 1-2 tredje ledd) eller konsesjon gitt av Datatilsynet (helseregisterloven § 5, jf. personopplysningsloven § 33).
Det rettslige behandlingsgrunnlaget for NORCCAP er ikke drøftet i Datatilsynets vedtak 21. juni 2016. Ved oversendelse av klagen til Personvernnemnda er spørsmålet om helseforskningsloven kommer til anvendelse ikke drøftet, men Datatilsynet uttaler følgende om anvendelsen av kreftregisterforskriften:
«Datatilsynet presiserer at vi ikke har tatt stilling til om kreftregisterforskriften regulerer behandlingen av data i NORCCAP. Dette tolkningsspørsmålet ligger etter vår forståelse utenfor vårt kompetanseområde. Vi påpeker imidlertid at dersom forskriften kommer til anvendelse, vil premissene for behandling av opplysninger i prosjektet blant annet følge av helseregisterloven § 11 tredje ledd.»
Slik Personvernnemnda ser det, er det ikke mulig å behandle en søknad om forlengelse av konsesjon (herunder endring av de opprinnelige konsesjonsvilkårene), uten først å ta stilling til om det er konsesjonen gitt av Datatilsynet som fortsatt regulerer den aktuelle behandlingen av helseopplysninger. I og med at Datatilsynet har behandlet en søknad om forlengelse av konsesjonen og truffet vedtak i saken, legger Personvernnemnda til grunn at Datatilsynet prejudisielt har tatt stilling til at behandlingen av personopplysninger i NORCCAP reguleres gjennom konsesjon fra Datatilsynet, jf. helseregisterloven § 5, jf. personopplysningsloven § 33.
Nemnda har kommet til at NORCCAP er regulert av helseforskningsloven og vil begrunne dette nærmere i det følgende.
Helseregisterloven og helseforskningsloven avgrenser sitt saklige virkeområde mot hverandre.
Helseregisterloven § 3, første til tredje ledd, lyder:
«Loven gjelder for behandling av helseopplysninger til statistikk, helseanalyser, forskning, kvalitetsforbedring, planlegging, styring og beredskap i helse- og omsorgsforvaltningen og helse- og omsorgstjenesten.
Loven gjelder også behandling av helseopplysninger i Helsearkivregisteret i Norsk helsearkiv.
Loven gjelder ikke for behandling av helseopplysninger som reguleres av helseforskningsloven eller pasientjournalloven.»
Helseforskningsloven § 2 første og annet ledd lyder:
«Loven gjelder for medisinsk og helsefaglig forskning på mennesker, humant biologisk materiale eller helseopplysninger. Slik forskning omfatter også pilotstudier og utprøvende behandling.
Loven gjelder ikke for etablering av helseregistre.»
I forarbeidene til helseforskningsloven (Ot.prp. nr. 74 (2006-2007) side 150) sies det blant annet om lovens anvendelsesområde:
«Loven gjelder ikke etablering av helseregistre. Etablering av helseregistre skal fremdeles følge av helseregisterloven § 5 eller i forskrift etter helseregisterloven §§ 7 og 8. Behandling av helseopplysninger som ikke er å regne for medisinsk og helsefaglig forskning, for eksempel administrative systemer (som lokalt IPLOS), skal behandles etter helseregisterlovens bestemmelser.
Som eksempel kan også nevnes abortregisteret som per 1. januar 2007 er et avidentifisert register med hjemmel i konsesjon etter helseregisterloven § 5. Registerets formål er blant annet at det skal kunne benyttes til statistikk som grunnlag for det abortforebyggende arbeidet. Et slikt register vil ikke falle inn under helseforskningsloven og vil fortsatt ha hjemmel i helseregisterloven. Dersom det benyttes opplysninger fra dette registeret i medisinsk og helsefaglig forskning, må imidlertid selve forskningsprosjektet ha hjemmel i helseforskningsloven.
[…]
Det understrekes at det ikke er avgjørende hva den enkelte virksomhetsutøver eller institusjon måtte benevne virksomheten, men en helhetsvurdering av virksomhetens reelle karakter.»
Typiske helseregistre er for eksempel Dødsårsaksregisteret, Medisinsk fødselsregister og Kreftregisteret. Sistnevnte inneholder helseopplysninger om alle personer i Norge som har eller har hatt kreft. Kreftregisteret behandler opplysninger om kreft og kreftundersøkelser i Norge, for å kartlegge forekomst av kreftsykdommer. Spørsmålet i saken er om NORCCAP også er et helseregister som reguleres av helseregisterloven § 5 eller i forskrift etter helseregisterloven §§ 7 og 8, eller om det er et forskningsprosjekt som er regulert av helseforskningsloven.
Formålet med helseforskningsloven var å fremme god og etisk forsvarlig forskning. Helse- og omsorgsdepartementet ønsket å rydde opp og forenkle regelverket for medisinsk og helsefaglig forskning, samtidig som hensyn til forskningsdeltakere og personvern skulle ivaretas. Det ble derfor foreslått at reguleringen ble samlet i én lov, og at forskerne i hovedsak skulle forholde seg til kun én instans i forbindelse med søknad om forhåndsgodkjenning av forskningsprosjekter – de regionale komiteene for medisinsk forskningsetikk (REK).
Når Personvernnemnda har kommet til at NORCCAP er et forskningsprosjekt som reguleres av helseforskningsloven, og ikke et helseregister som reguleres av helseregisterloven, har nemnda for det første lagt vekt på at forskningsprosjektet faller inn under ordlyden i helseforskningsloven. Det dreier seg om medisinsk forskning slik denne er definert i helseforskningsloven § 4: «virksomhet som utføres med vitenskapelig metodikk for å skaffe til veie ny kunnskap om helse og sykdom».
For det andre viser nemnda til at det dreier seg om et tidsbegrenset forskningsprosjekt i motsetning til et permanent helseregister. Konsesjonen ble gitt i 1998 og hadde opprinnelig varighet til 31. desember 2016, senere forlenget til 31. desember 2017. Bakgrunnen for denne saken er en søknad om ytterligere forlengelse av prosjektet frem til 31. desember 2036. Prosjektet er således fortsatt tidsbegrenset. Det følger av konsesjonen at alle personopplysningene i prosjektet skal anonymiseres eller slettes ved prosjektets avslutning.
For det tredje har nemnda lagt vekt på at NORCCAP er mer enn et typisk helseregister, idet det også omfatter opplysninger om en kontrollgruppe som blir sammenlignet med intervensjonsgruppen ved koblinger mot Kreftregisteret og Dødsårsaksregisteret. Nemnda er enig med Kreftregisteret i at NORCCAP ikke primært er et basisregister som har som formål å utlevere opplysninger til andre forskningsprosjekter, men er et selvstendig forskningsprosjekt med et konkret formål: å undersøke om sigmoidoskopiscreening kan redusere antall dødsfall på grunn av tarmkreft.
Personvernnemnda har oppfattet at opplysninger i NORCCAP-prosjektet også i noen grad er benyttet i andre forskningsprosjekter. Nemnda er enig i at det kan være et moment som taler for at NORCCAP anses som et helseregister, men har ikke funnet å legge avgjørende vekt på dette. Slik nemnda ser det kan NORCCAP, særlig med bakgrunn i prosjektets tidsbegrensning, kontrollgruppens deltakelse og forskningsprosjektets formål, verken anses som et basisregister (regulert av helseregisterloven) eller et typisk screeningprogram («undersøkelsesprogram for tidlig diagnose og kontroll for kreftsykdom», jf. helseregisterloven § 11, jf. kreftregisterforskriften).
Personvernnemnda har vurdert hvorvidt lovvalgsspørsmålet burde forelegges REK, jf. Ot.prp. nr. 74 (2006-2007) kap. 21, i kommentarene til § 2, hvor det sies:
«Ved tvil om et prosjekt eller en virksomhet faller inn under lovens virkeområde skal prosjektet forelegges REK, som så må vurdere dette.»
Nemnda har kommet til at det ikke foreligger slik tvil at det er nødvendig i dette tilfellet. I tillegg til det som fremkommer om lovtolkning ovenfor, viser nemnda til at REK allerede har behandlet søknad om endringer i prosjektets metode, samt utvidelse av prosjektet til også å omfatte innhenting av opplysninger fra sykehusjournaler for deltakere som utviklet tarmkreft i oppfølgingstiden. En naturlig forståelse av dette er at REK selv vurderer forskningsprosjektet til å være regulert av helseforskningsloven.
Når forskningsprosjektet faller inn under helseforskningsloven vil Kreftregisterets søknad om utvidelse av forskningsprosjektets varighet frem til 31. desember 2036 åpenbart innebære en vesentlig endring av forskningsprosjektet som reguleres av helseforskningsloven § 15. Det er REK som i henhold til bestemmelsen skal vurdere om lovens vilkår for å gjøre unntak fra hovedregelen om nytt samtykke er oppfylt. Forutsatt at det anses vanskelig å innhente nytt samtykke, kan REK godkjenne ny eller endret bruk uten at samtykke innhentes «dersom slik forskning er av vesentlig interesse for samfunnet og hensynet til deltakernes velferd og integritet er ivaretatt».
Datatilsynet har etter dette ikke kompetanse til å treffe vedtak om utvidet konsesjon, eller stille vilkår i den forbindelse, idet denne kompetansen i henhold til helseforskningsloven er lagt til REK.
7 Vedtak
Datatilsynets vedtak oppheves.
Oslo, 20. november 2017
Mari Bø Haugstad
Leder