Forskrift om endring i forskrift om behandling av personopplysninger (personopplysningsforskriften).

I

I forskrift 15. desember 2000 nr. 1265 om behandling av personopplysninger (personopplysningsforskriften) gjøres følgende endring:

§ 7-27 skal lyde:

Behandling av personopplysninger i forbindelse med et forskningsprosjekt er unntatt fra konsesjonsplikt etter personopplysningslovens § 33 første ledd dersom prosjektet er tilrådd av personvernombud. Omfatter prosjektet medisinsk og helsefaglig forskning, skal det i tillegg være tilrådd av en regional forskningsetisk komité.

Forskningsprosjekter av stort omfang og lang varighet, samt forskning på store datasett som ikke er pseudonymisert eller avidentifisert på annen sikker måte, er ikke unntatt. Unntaket omfatter bare frafallsanalyser (analyser av fordelinger over utdanning, inntekt og ytelser m.m. blant fremmøtte og ikke-fremmøtte for å beregne betydningen av frafallet) i den grad de er basert på samtykke.

Merknader til § 7-27

Utgangspunktet for bestemmelsen er at det ikke oppstilles konsesjonsplikt, kun meldeplikt. Tidligere § 7-27 oppstilte vilkår for hvordan førstegangskontakt skulle opprettes, samtykke, tidspunkt for prosjektavslutning, anonymisering eller sletting ved prosjektavslutning og at prosjektet ikke skulle sammenstille personregistre elektronisk. Personvernelementene disse kravene ivaretok er også ivaretatt i lovgivningen. Hvordan førstegangskontakt opprettes er i stor grad et forskningsetisk spørsmål, likevel slik at enkelte fremgangsmåter er mindre problematiske i et personvernperspektiv enn andre. Datatilsynet legger til grunn at REK og personvernombudene ivaretar dette aspektet. At samtykke er den klare hovedregel for behandling av personopplysninger følger direkte av personopplysningslovens § 8 og § 9. I den grad personvernombudene skal kunne akseptere unntak fra hovedregelen forventes at forskeren begrunner behovet for dette på en tilfredsstillende måte. Begrunnelsen vil være et viktig element i Datatilsynets etterkontroll. Videre er det en forutsetning for at et samtykke skal være gyldig at det informeres om hvor lenge personopplysningene skal oppbevares, jf. § 2 nr. 7. Dette kravet følger også av informasjonsplikten etter § 19 flg. Anonymisering eller sletting skal normalt skje ved prosjektavslutning. Når det gjelder elektronisk sammenstilling er ikke det i seg selv problematisk i et personvernperspektiv. Antallet inkluderte, parametre og om materialet avidentifiseres eller anonymiseres umiddelbart etter sammenstillingen er viktigere.

Det oppstilles som et vilkår for at unntaket kommer til anvendelse at prosjektet er tilrådd av et personvernombud. Videre oppstilles som vilkår at prosjektet er tilrådd av en regional komité for medisinsk forskningsetikk (REK) dersom prosjektet omfatter medisinsk og helsefaglig forskning. Endringen innebærer på denne måten en begrensning i konsesjonsplikten, men utvidet meldeplikt for forskere ved institusjoner som er tilknyttet et personvernombud. For de som ikke er tilknyttet personvernombud innebærer det imidlertid en utvidelse av konsesjonsplikten.

For prosjekter som ikke anses som medisinsk eller helsefaglig forskning er det tilstrekkelig med tilrådning fra personvernombudet. Ettersom det i dag bare foreligger krav om fremleggelse innen medisinsk og helsefaglig forskning, forutsettes det særlig aktpågivenhet fra forskere innen andre samfunnsområder. Samtidig krever det at personvernombudet har kjennskap til forskningsetikk og på eget initiativ forelegger prosjekter som oppfattes som forskningsetisk tvilsomme for en komité. Personvernombudene skal også forelegge saker det finner problematisk å tilrå for Datatilsynet, eventuelt anbefale Datatilsynet å utføre forhåndskontroll.

I bestemmelsens annet ledd avgrenses det mot forskningsprosjekter av stort omfang og lang varighet, samt forskning på store datasett som ikke er pseudonymisert eller avidentifisert på annen sikker måte. I dette ligger også opprettelse av store samlinger (registre) av personopplysninger, ment som grunnlag for andre enkeltstående prosjekter. Omfanget må her relateres både til antallet involverte forskningsobjekter og mengden opplysninger som registreres om den enkelte. Unntaket fra konsesjonsplikt vil ikke gjelde for denne typen registre.

Når det gjelder presiseringen om at unntaket ikke omfatter forskningsprosjekter av stort omfang, er det lagt til grunn at prosjekter som omfatter 5000 forskningsobjekter er store av omfang. Bakgrunnen for antallet 5000 er at langt de fleste prosjekter omfatter et mye lavere antall deltakere, samtidig som de store folkehelseundersøkelsene uansett omfattes av forhåndskontroll. Sett i forhold til kravet om varighet, fremstår antallet som akseptabelt i et personvernperspektiv.

Når det gjelder varighet legges det til grunn at en alminnelig doktoravhandling har varighet på 3 til 6 år, og at prosjekter ut over denne tidsangivelse bør kunne anses som langvarige. Det er likevel lagt til grunn her at det kun er prosjekter med varighet ut over 15 år som vurderes som langvarige. Tidsangivelsen innebærer at dersom et prosjekt, som i utgangspunktet ikke var antatt å skulle ha varighet over 15 år, likevel overskrider tidsangivelsen, inntrer krav om forhåndskontroll (konsesjon).

Forskning på store datasett er likevel unntatt fra konsesjonsplikt dersom materialet forskeren innehar er pseudonymisert eller avidentifisert på annen sikker måte. Kravet om pseudonymisering eller avidentifisering på annen sikker måte innebærer at forsker, eller institusjonen forsker er ansatt, ikke kan oppbevare koblingsnøkkelen. Det ligger også i dette at antallet og type parametre ikke kan være av en slik karakter at det er mulig å «bakveisidentifisere» de inkluderte.

De store befolkningsundersøkelsene i regi av Folkehelseinstituttet, JANUS-banken og det såkalte tvillingregisteret/arvelighetsregisteret ved Universitetet i Oslo er typiske eksempler på registre som ikke er unntatt fra konsesjonsplikten. Dette er omfattende registre, både med hensyn til varighet, antallet forskningsobjekter og mengden opplysninger som registreres. Det er ikke avgjørende for spørsmålet om undersøkelsen er konsesjonspliktig om det behandles biologisk materiale eller ikke. Folkehelseundersøkelser hvor det også samles inn biologisk materiale vil vanskelig kunne omfattes av unntaket. Dette vil imidlertid ha grunnlag i at undersøkelsene gjennomgående vil være av permanent karakter og være grunnlag for enkeltstående prosjekter/studier.

Behandling av opplysninger i enkeltstående prosjekter som har grunnlag i et konsesjonspliktig register må vurderes konkret etter eventuelle konsesjonsvilkår og bestemmelsen her. Det opprettholdes ikke konsesjonsplikt på generelt grunnlag for tilgang til opplysninger fra de store konsesjonsbelagte og forskriftsregulerte registrene.

I grensedragningen mellom prosjekter unntatt konsesjonsplikt og de øvrige, er det den enkelte forsker, som sammen med personvernombud best kan vurdere om de hensyn som taler for forhåndskontroll for det enkelte prosjekt. Dette kan være grunnet antall involverte personer, opplysningenes sensitivitet og lengden på prosjektet. Prosjekter er ofte av forskjellig karakter, samtidig som det ikke bare er de kvantitative størrelsene som er avgjørende, men omfanget av personopplysninger som skal innsamles og analyseres.

Det er i annet ledd også presisert at unntaket ikke omfatter såkalte frafallsanalyser, med mindre disse er basert på samtykke. Med frafallsanalyser er ment analyser av fordelinger over utdanning, inntekt og ytelser med mere blant fremmøtte og ikke-fremmøtte for å beregne betydningen av frafallet. I et personvernperspektiv står ikke-samtykkebaserte frafallsanalyser i en særstilling og skal derfor underlegges forhåndskontroll fra Datatilsynet. Grunnen til at denne type analyser er spesielt personvernmessig problematisk er at personer som har valgt ikke å være med i en studie, likevel inkluderes. Tilsynet har forståelse for at det i enkelte sammenhenger kan være behov for å vurdere utvalgets sammensetning, men når disse analysene forutsetter at det inkluderes relativt mange opplysninger om personer som har takket nei til deltagelse, og som forutsetningsvis legger til grunn at forskeren respekterer dette, medfører det et behov for en særlig vurdering dersom inklusjon mot deres vilje skal kunne aksepteres.

Behandling av helseopplysninger i forbindelse med medisinsk forskning er ofte omhandlet av helseregisterlovens virkeområde. Personopplysningsloven og personopplysningsforskriftens bestemmelser om meldeplikt kommer imidlertid også til anvendelse for prosjekter omfattet av helseregisterloven. Det følger av helseregisterlovens § 5 at helseopplysninger bare kan behandles elektronisk når dette er tillatt etter personopplysningslovens § 9 og § 33, eller følger av lov og behandlingen ikke er forbudt ved annet særskilt rettsgrunnlag. Personopplysningslovens § 33 gjelder konsesjonsplikt. Videre følger det av helseregisterlovens § 36 at i den utstrekning ikke annet følger av denne lov, gjelder personopplysningsloven med forskrifter som utfyllende bestemmelser.

Endringen har ikke betydning for konsesjons- eller meldeplikten for studier som allerede er startet. Endringen vil skal imidlertid legges til grunn dersom studien endrer karakter på en slik måte at det er nødvendig å sende melding om endring eller søke om endring av konsesjon.

II

Endringen trer i kraft 1. juli 2005.