archive-no.com » NO » P » PERSONVERNNEMNDA.NO

Total: 189

Choose link from "Titles, links and description words view":

Or switch to "Titles and links view".
  • Personvernnemnda
    personvern må vike Forbundet er videre av den oppfatning at tilsynet forskjellsbehandler personer med bakgrunn i ansettelsesforhold Forbundet peker på bestemmelser i verdipapirhandelloven og arbeidsmiljøloven som underbygger ansattes rett til personvern Videre har Verdipapirforetakenes Forbund har i brev av 11 november 2013 påpekt at det ikke er bestridt at kunden har innsynsrett i lydopptak av samtale mellom kunden og ansatt i verdipapirforetak VPFF er imidlertid ikke enig i at kundene skal få adgang til å få lydfilene fysisk utlevert da dette etter VPFFs oppfatning ikke ivaretar hensynet til de ansattes personvern Datatilsynets avveining mellom arbeidstakers og kundes personvern er etter VPFFs vurdering formalistisk blant annet ved henvisning til at kunden ikke er uvedkommende i lovens forstand Det er for så vidt riktig men ikke avgjørende for vurderingen Som tilsynet har påpekt vil ikke personopplysninger utlevert til en privatperson nødvendigvis være regulert av personopplysningsloven herunder kravene i 13 Det innebærer at kundene kan publisere informasjon uavhengig av personopplysningslovens bestemmelser For VPFF kan det fremstå som at Datatilsynet mener at det er et argument for at kundene skal kunne få en kopi av lydfilen Etter VPFFs vurdering taler det snarere tvert imot for at de ikke skal få en kopi av lydfilen I et tilfelle hvor det kan tenkes interessemotsetninger mellom to eller flere registrerte gir personopplysningsloven liten veiledning Det må derfor tas utgangspunkt i lovens formål og de grunnleggende prinsippene som loven bygger på Utgangspunktet er at både arbeidstaker og kunde er registrert og har rettigheter i henhold til loven Etter at et lydopptak er utlevert til kunden vil ikke verdipapirforetaket eller den ansatte ha noen kontroll på hvordan opplysningene behandles Det er ingen krav til sikker oppbevaring sletting eller regler om overføring til andre Arbeidstakerens personopplysninger er derfor svakt beskyttet hvis et lydopptak utleveres Dette er et relevant hensyn ved vurderingen av hvordan innsyn skal gjennomføres jf l Lovens formål er å beskytte den enkelte mot at personvernet blir krenket gjennom behandling av personopplysninger jf l Utlevering av lydopptak er behandling i lovens forstand og det er en risiko for at personvernet blir krenket Det er ikke tale om å nekte innsyn jf personopplysningsloven 23 men spørsmål om hvilken form innsynet skal ha Det vil si at det er mindre inngripende for den registrerte kunden enn å nekte innsyn Personopplysningsloven åpner for å nekte innsyn i visse situasjoner noe som også tilsier at det bør kunne være grunnlag for å gjøre det mindre nemlig regulere metoden for innsyn så lenge vurderingen er basert på hensyn som er forenlig med loven Det bemerkes at verdipapirforetakene også er forpliktet til å ivareta arbeidstakernes personvern Ved tolkningen av reglene om innsyn kan det ikke legges til grunn et resultat som er uforenlig med lovens formål Fra Sparebank1Markets VPFFs side er det foreslått alternative løsninger som VPFF i stor grad mener oppveier for de ulemper manglende overlevering av en kopi av lydfilen vil innebære Det vil si at de negative virkningene for den registrerte er få og VPFF mener dette i større grad bør hensyntas i vurderingen av hvordan innsynet skal gjennomføres Formålet med innsynsretten mv Formålet med innsynsretten er at den registrerte skal kunne kontrollere opplysningene for eventuelt å korrigere og rette opp informasjonen som er lagret om vedkommende Klagen gjelder innsynsrett i en lydfil Det vil si at den informasjonen som er lagret som utgangspunkt er korrekt da det er et opptak av en samtale VPFF vil peke på at det således i mindre grad er behov for å rette opp eller korrigere informasjonen sammenliknet med andre tilfeller hvor informasjonen registreres i ettertid VPFF viser videre til at de norske reglene om innsyn trolig går lenger enn personverndirektivet når det oppstilles et krav til skriftlighet Kravet til skriftlighet er ikke problematisert i forarbeidene til personopplysningsloven En tilsvarende bestemmelse fantes imidlertid i forskrift til personregisterloven av 1978 Det er antakeligvis grunnen til at bestemmelsen er videreført uten nærmere drøfting Det forhold at bestemmelsen ikke er en gjennomføring av direktivet innebærer etter VPFFs syn at retten til en kopi ikke gjelder i enhver situasjon Det er tilstrekkelig at opplysningene blir kommunisert til kunden i en forståelig og hensiktsmessig form Ved å gi kunden adgang til å høre lydfilene er direktivet etter VPFFs vurdering oppfylt Ikke relevante hensyn vektlagt av Datatilsynet klagebehandling I det opprinnelige vedtaket viste Datatilsynet til at opptakene kunne bestå av flere timer og virksomhetens gjennomføring av innsynsretten ikke var særlig egnet i slike tilfeller Dette ville være tilfelle når det er behov for å engasjere profesjonell bistand i f eks en klagesak VPFF kan ikke se at Datatilsynet her har vektlagt et relevant moment Tilsynet sikter trolig til en klage knyttet til rådgivningen mm ikke behandlingen av personopplysningene Etter VPFFs vurdering er ikke praktisk gjennomføring av klagebehandling et relevant moment ved tolkningen av personopplysningsloven Formålet med innsynsbestemmelsen er at den registrerte skal kunne kontrollere informasjonen som er lagret og f eks kreve retting eller sletting jf personopplysningsloven 27 Klagebehandling etter annet lovverk faller utenfor lovens anvendelsesområde det er ikke personvern Datatilsynet har etter VPFFs vurderinger lagt vekt på hensyn som ikke er relevante ved tolkning av personopplysningsloven 6 Datatilsynets vurdering Datatilsynet påpeker at en personopplysning er etter personopplysningsloven 2 nr 1 definert som opplysninger og vurderinger som kan knyttes til en enkeltperson Etter personopplysningsloven 18 annet ledd skal den registrerte den personopplysningene kan knyttes til ha rett til innsyn i registrerte opplysninger om seg selv Etter tilsynets vurdering vil innsynsretten omfatte hva som blir sagt av begge parter i telefonsamtalen Både kunden og megler som begge er å anse som registrerte vil således ha rett til innsyn i det de sier og det de blir fortalt i telefonsamtalen Motsatt ville en innskrenkende tolkning av begrepet personopplysning føre til at den registrert kun hadde krav på innsyn i de opplysningene han eller hun selv har oppgitt Sett ut fra formålet med innsynsretten vil ikke en slik begrenset rett til innsyn harmonisere med hensynet bak reglene om innsyn Den enkeltes personopplysninger ytringer må sees i kontekst og det omfatter naturlig også det samtalepartneren

    Original URL path: http://www.personvernnemnda.no/vedtak/2013_19.htm (2014-09-28)
    Open archived version from archive


  • Personvernnemnda
    beboeren håper at dette skal være tilstrekkelig for å skremme eventuelle gjerningspersoner Datatilsynet har korrespondert med partene men ikke prioritert stedlig tilsyn av hensyn til Datatilsynets begrensede ressurser 4 Klagers anførsler Sameiet ønsker at Datatilsynet skal foreta stedlig tilsyn for å avdekke hvorvidt det finnes et kamera på eiendommen samt å pålegge skilt og eventuelt kamera fjernet 5 Datatilsynets vurdering Datatilsynet er av den prinsipielle oppfatning at klager ikke har rettskrav på å få behandlet sin sak på den måten han mener er passende Det er derimot en del av det frie forvaltningsskjønn å vurdere hvilke virkemidler som skal tas i bruk i hver enkelt sak herunder hva som må regnes som forholdsmessig Både etter personopplysningsloven 42 tredje ledd nr 6 og etter forvaltningsloven 11 har Datatilsynet plikt til å veilede publikum i spørsmål om behandling av personopplysninger Tilsynet mener at denne plikten er tilstrekkelig oppfylt gjennom det brev tilsynet har sendt til klager i sakens anledning Datatilsynet utarbeidet sommeren 2011 forskjellige tiltak med mål om å effektivisere saksbehandlingen inkludert retningslinjer for prioritering av innkomne saker Antallet saker som kommer inn til tilsynet er større enn den kapasitet tilsynet har til å behandle alle i sin fulle bredde Tilsynet er nødt til å prioritere hva tilsynet skal bruke tiden på for å sikre at tilsynets arbeid gir så godt resultat for personvernet som mulig Det vil si at ikke alle saker blir undersøkt i sin fulle bredde Tilsynet har satt opp kriterier for en slik prioritering for henvendelser fra privatpersoner og en sak tas opp til behandling hvis Klagen indikerer at det foreligger en systemfeil i den innklagde virksomheten Eksempler er om tilsynet har mottatt flere klager mot samme virksomhet om tilsynet har fått flere klager på samme problemstilling på ulike virksomheter om klagens innhold indikerer systemsvikt om innklagde har svart klager på en måte som indikerer systemsvikt Saken har prinsipiell interesse Det er snakk om et område med ny regulering Det dreier seg om en personvernkrenkelse av stor velferdsmessig betydning for den enkelte Saken er på et område som er prioritert på virksomhetsplanen Denne listen er ikke uttømmende men gir indikasjoner på hva tilsynet legger vekt på når tilsynet vurderer hvilke saker man skal bruke ressurser på Denne saken synes å ha utgangspunkt i en nabokonflikt som er pågått over lengre tid Det fremgår blant annet at beboeren har nektet å følge vedtekter som går i hennes disfavør Slik saken fremstår i dag er det ord mot ord klager har mistanke om at det foregår kameraovervåking innklagede mener det kun er satt opp et skilt For å få klarhet i dette ønsker sameiet at Datatilsynet kommer på en stedlig kontroll for å avklare hvorvidt det foregår kameraovervåking eller ikke Klager ønsker også at Datatilsynet fjerner skiltet med påskriften videoovervåking Sameiet er relativt lite og består av 6 personer Datatilsynet har forståelse for at det oppleves som ubehagelig å ikke være sikker på om det foregår kameraovervåking eller ikke Datatilsynet kan likevel ikke se at det dreier seg om en

    Original URL path: http://www.personvernnemnda.no/vedtak/2013_18.htm (2014-09-28)
    Open archived version from archive

  • Personvernnemnda
    man regner med at prosjektet vil vare ut 2003 Det står ikke at prosjektet skal avsluttes og heller ikke at data skal slettes For å sikre at tvillingene ikke er av oppfatningen at prosjektet er avsluttet har FHI sendt ut informasjonsbrev til alle tvillinger i 2008 Flere av tvillingene har også deltatt i senere undersøkelser som gjør det klart at avgitte data er grunnlag for nye prosjekter som tvillingene også har fått mulighet til å ta aktivt stilling til FHIs inntrykk er at de aller fleste allerede har en oppfatning om at de er inkludert i et tvillingregister hos FHI Denne oppfatningen underbygges ved at FHI svært sjelden får negative eller overraskede tilbakemeldinger ved henvendelser til tvillingene gjennom nyhetsbrev eller tilbud om å delta i nye undersøkelser Det viser seg for eksempel at Av de totalt 9490 som har deltatt i disse to spørreskjemaundersøkelsene har bare 94 reservert seg mot ytterligere henvendelser og bare 17 0 18 har bedt om å få sine data slettet Dette til tross for at de aller fleste har fått en rekke henvendelser inkludert nyhetsbrev med opplysning om etablering av Nasjonalt tvillingregister fra FHI Ved utsendelse av informasjonsskriv om kobling av opplysninger til offentlige registre i 2010 til 7600 av de 9490 deltakerne der FHI også informerte om Nasjonalt tvillingregister valgte bare 38 å reservere seg og 5 å bli slettet fra registeret totalt 0 065 Ved forlengelse av biobanken som utgår fra disse deltagerne og registering i Nasjonalt tvillingregister i 2011 ønsket 0 15 å reservere seg fra dette 4 6 Hvorfor de vitenskapelige formål og samfunnsinteressen klart overstiger ulempene for den enkelte En av Folkehelseinstituttets viktigste oppgaver er å drive forskning knyttet til forståelse og forebygging av viktige helseproblemer Tvillingundersøkelser utgjør en uvurderlig kilde til slik forskning Tvillingdata brukes til å undersøke i hvor stor grad genetiske og miljømessige faktorer påvirker helsen og de har i de senere årene også fått en sentral plass i undersøkelser av spesifikke risikofaktorer for sykdom I motsetning til undersøkelser der deltakerne ikke er i slekt kan man i tvillingstudier kontrollere for effekter av arv og oppvekstmiljø Dermed kommer man nærmere reelle årsakssammenhenger også når randomiserte studier av etiske hensyn ikke lar seg gjennomføre Tvillingstudier er imidlertid særlig sårbare i forhold til oppslutning Dette gjelder både fordi hendelsene man studerer er sjeldne fordi utvalget ofte er skjevt i forhold til faktorer som er viktige for helseatferd og sykdomsmål og fordi FHI er avhengige av komplette par dvs at begge tvillingene i hvert par deltar i undersøkelsen Faller en tvilling fra er frafallet i realiteten begge tvillingene i paret FHI mener derfor at samfunnsnytten av å ha et så komplett som mulig tvillingregister er udiskutabel og at frafallet man kan forvente dersom man skal innhente nytt informert samtykke er til alvorlig ulempe for samfunnet fordi det hindrer forskning på viktige helseproblemer 4 7 Tilbakeføring av analyseresultater og tilførsel av nye opplysninger Folkehelseinstituttet hevder at tilbakeføring av analyseresultater fra det biologiske materialet ikke bør anses som en utvidelse av registret men som en analyse av registerets allerede tilstedeværende innhold Bakgrunnen for dette er at ved avgivelse av en blodprøve i en forskningsundesøkelse som dette registeret baserer seg på er formålet at den skal analyseres og at resultatene skal benyttes videre til forskning Det biologiske materialet analyseresultatene og registeret må dermed ses i sammenheng 5 Datatilsynets vurdering 5 1 Vilkår 2 Behandlingsgrunnlag Helseregisterloven kapittel 2 regulerer blant annet etablering av helseregistre FHI er tydelige på at Nasjonalt tvillingregister er ment å være et landsomfattende og permanent register som skal være leverandør av helseopplysninger til bruk for forskning Dette fremgår av konsesjonssøknad samt av FHI sine nettsider om registeret Helseopplysninger kan i henhold til helseregisterloven 5 bare behandles elektronisk når dette er tillatt etter personopplysningsloven 9 og 33 helseforskningsloven eller følger av lov Opprettelse av Nasjonalt tvillingregister reguleres ikke av helseforskningsloven og følger heller ikke av lov Opprettelse av dette registeret krever således hjemmel i personopplysningsloven 8 og 9 samt enten konsesjon fra Datatilsynet eller egen forskriftshjemmel Behovet for forskriftshjemmel har vært tema i saken men er ikke tema i klagebehandlingen Ved avgjørelsen av om konsesjon skal gis skal det kartlegges om behandlingen av personopplysninger kan volde ulemper for den enkelte som ikke kan avhjelpes gjennom bestemmelsene i kapitlene II V og vilkår etter 35 I så fall må det vurderes om ulempene blir oppveid av hensyn som taler for behandlingen jf personopplysningsloven 34 Prinsipalt hevder FHI at samtykkene som er gitt til de enkelte tvillingstudiene sammen med senere gitt informasjon er til strekkelig for registrering av helseopplysningene i Nasjonalt tvillingregister Når samtykke fra de registrerte er behandlingsgrunnlaget etter helseregisterloven 5 og personopplysningsloven 9 bokstav a må samtykket tilfredsstille kravene i helseregisterloven 2 nr 11 Etter helseregisterloven 2 nr 11 er et samtykke definert som en frivillig uttrykkelig og informert erklæring fra den registrerte om at han eller hun godtar behandling av helseopplysninger om seg selv Det må fremgå klart og utvetydig hvilke behandlinger samtykket omfatter og hvilke behandlingsansvarlige det er rettet til jf kravet om at samtykket skal være uttrykkelig I kravet til at samtykket skal være frivillig ligger det at det ikke må være avgitt under noen form for tvang fra den behandlingsansvarlige eller andre Kravet til at samtykke skal være informert medfører at den registrerte må gis tilstrekkelig informasjon slik at vedkommende vet hva det samtykkes til Det vises til Ot prp nr 92 1998 1999 side 103 I NOU 1997 19 kapittel 21 står følgende om kravet til at samtykket må være informert dette ligger at den registrerte må forstå hva gjelder og hvilke konsekvenser denne får eller kan få I EUs personverndirektiv 95 46 EF artikkel 2 bokstav h er samtykke definert som enhver frivillig spesifikk og informert viljesytring om at den registrerte gir sitt samtykke til at personopplysninger om vedkommende blir behandlet Hva det skal informeres om må ses i sammenheng med helseregisterloven 23 og 24 om informasjonsplikt Bestemmelsene gir uttrykk for hva som minst må fremgå av informasjonen som gis til den registrerte Dette omfatter blant annet opplysninger om hvem som er behandlingsansvarlig formålet med behandlingen om opplysningene vil bli utlevert og eventuelt til hvem Det må også informeres om hvilke rettigheter den registrerte har etter loven og at det er frivillig å samtykke Det påpekes at informasjonsplikten gjelder uavhengig av kravet til samtykke Da søknaden om konsesjon av 20 desember 2011 baserer etablering av Nasjonalt tvillingregister dels på samtykke fra de registrerte og dels på grunnlag av personopplysningsloven 8 bokstav d og 9 bokstav h vil dette grunnlaget drøftes subsidiært For behandling av helseopplysninger med grunnlag i personopplysningsloven 8 bokstav d og 9 bokstav h må samfunnsinteressen i behandlingen avveies mot personverninteressene involvert og ulempene det kan medføre for de registrerte Det må foreligge en klar overvekt i favør av de samfunnsmessige fordelene jf personopplysningsloven 9 h Faktorer som typisk vektlegges i en slik interesseavveining er kort lagringstid begrenset omfang få variabler lite sensitiv informasjon etc god identitetsforvaltning for eksempel tiltak for å skjerme de registrertes identitet psuedonymisering avidentifisering 5 2 Vilkår 3 Tilbakeføring av analyseresultater og tilførsel av nye opplysninger Ved avgjørelse av om konsesjon skal gis er det Datatilsynets oppgave å klarlegge om behandlingen av personopplysninger kan volde ulemper for den enkelte som ikke avhjelpes gjennom bestemmelsene i kapitlene II V og vilkår etter 35 jf personopplysningsloven 34 I konsesjonssaker som gjelder helseregistre har Datatilsynet praksis for at det settes som vilkår at datamaterialet i helseregisteret skal lagres slik det fremstår på søknadstidspunktet og at det f eks ikke skal berikes med analyseresultater fra enkeltprosjekter Vilkåret stenger ikke for at helseregisteret kan vokse men betyr at en tilføring av opplysninger fra enkeltprosjekter må sees på som en utvidelse av helseregisteret som krever ny konsesjonssøknad evt endringsmelding til personvernombudet 5 3 Endret behandling eller ikke FHI mener at etablering av Nasjonalt tvillingregister ikke innebærer noen forandring med hensyn til behandling av helseopplysningene i tvillingundersøkelsen Nasjonalt tvillingregister er kun en videreføring av den gamle samlekonsesjonen samt at registeret fra UiO er lagt til FHI har rett i at søknaden av 20 12 2011 ikke representerer en endring som i seg selv begrunner avslaget fra Datatilsynet Endringen som begrunner det delvise avslaget skjedde i 2009 da helseopplysningene ikke lengre skulle tilhøre tidsavgrensede enkeltprosjekter men overføres til et permanent helseregister Helt fra samlekonsesjonen ble gitt i 2009 har det vært forutsatt fra Datatilsynets side at gyldige samtykker skulle være på plass Når det etter fire år ikke er blitt bragt orden i samtykkegrunnlaget og registeret nå søkes ytterligere utvidet er dette momenter som taler i retning av at gyldige samtykker må på plass Hovedregelen om at den enkelte skal ha råderett over sine helseopplysninger tilsier at alle forskningsdeltakerne bør ha muligheten til å ta aktiv stilling til en eventuell registrering i et permanent nasjonalt helseregister 5 4 Samtykke Konsesjonene gitt for behandling av helseopplysninger i de opprinnelige tvillingstudiene var basert på at det forela gyldig samtykke fra de registrerte for deltakelse i studiene Også da det ble gitt konsesjon for sammenslåing av de tre registrene til et nasjonalt tvillingregister ble det forutsatt at samtykker som lå til grunn for de enkelte studiene dekket registrering i Nasjonalt tvillingregister Det ble presisert at dersom de foreliggende samtykker ikke var dekkende måtte nye samtykker innhentes Alle som er registrert i Nasjonalt tvillingregister er rekruttert via deltakelse i enkeltstudier Den informasjonen deltakerne har mottatt om hvordan deres helseopplysninger er planlagt brukt har først og fremst vært knyttet til studien de har deltatt i Dette betyr at deltakerne i de ulike studiene har mottatt ulik informasjon og at det er vanskelig å slå fast en type informasjon som alle har fått Noen fellestrekk er likevel følgende Opprinnelig informasjon som ble gitt alle deltakerne fra henholdsvis UiO OUS og FHI var at helseopplysningene skulle brukes til forskning på arv og miljø Opprinnelig informasjonen inneholdt ikke opplysninger om at den enkeltes helseopplysninger ville kobles mot andre registre Opprinnelig informasjonen inneholdt ikke opplysninger om at helseopplysningene ville registreres i et nasjonalt helseregister Når samtykke er gitt til deltakelse i et enkeltstående forskningsprosjekt kan man i utgangspunktet ikke bruke disse opplysningene til noe annet enn det samtykket omfattet uten å innhente nytt samtykke jf personopplysningsloven 11 Datatilsynet finner støtte for en slik argumentasjon i Personvernnemndas avgjørelse PNV 2009 07 Saken gjaldt Datatilsynets avslag på søknad om konsesjon til kobling av FHIs tvillingundersøkelse med blant annet Nasjonal utdanningsdatabase FD trygd Dødsårsaksregisteret og Reseptregisteret I denne saken la Personvernnemnda avgjørende vekt på den informasjonen som ble gitt de registrerte da de samtykket til å delta i tvillingundersøkelsen Deltakerne ble forespeilet at prosjektet ville vare ut 2003 og at de ville bli kontaktet på nytt for eventuell etterundersøkelse Nemnda uttaler at De registrerte hadde derfor god grunn til å tro at det ikke ville bli forsket på noe annet eller mer enn det de nettopp samtykket til uten at de ville bli kontaktet på nytt All den tid det ikke ble informert om at deltakernes helseopplysninger skulle inngå i et permanent nasjonalt helseregister kan tilsynet vanskelig se at samtykket skulle dekke en slik behandling Av FHIs søknad av 20 desember 2011 om å opprette Nasjonalt tvillingregister går det også tydelig frem at samtykker som er gitt med tidsbegrensing eller som er avgitt til konkrete prosjekter ikke oppfyller kravene som stilles til samtykke i helseregisterloven for registrering av helseopplysninger i et helseregister Fra søknaden siteres Samtykkene som er gitt med en tidsbegrensning eller som er avgitt til et konkret prosjekt er problematiske og gir et usikkert behandlingsgrunnlag I ettertid har FHI imidlertid kommet til at alle samtykker er gyldige FHI anfører som grunn for dette at noen av deltakerne har avgitt generelle og tidsubegrensede samtykker i etterkant av det opprinnelige samtykket som var tidsbegrenset til 2003 FHI anfører dessuten at det faktum at det ikke er gitt noen informasjon om sletting taler for at helseopplysningene kan oppbevares uten tidsbegrensning FHI anfører videre at informasjon som er gjort tilgjengelig for deltakerne via nyhetsbrev og nettsider reparerer eventuelle mangelfulle samtykker I nyhetsbrev og på nettsidene fremgår det hva person og helseopplysningene brukes til resultater fra prosjekter og informasjon om retten til å reservere seg mot at ens helseopplysninger brukes videre til forskning Datatilsynet mener at helseregisterloven for det første ikke åpner for generelle brede samtykker slik helseforskningsloven til en viss grad gjør Samtykke etter helseforskningsloven er ment å omfatte også ukjente behandlinger i fremtiden Dette nettopp for å utvide mulighetene for å forske videre på innhentede opplysninger Denne åpningen har ikke helseregisterloven Et samtykke som kan være gyldig etter helseforskningsloven vil dermed ikke nødvendigvis være gyldig etter helseregisterloven FHI synes for det andre å være av den oppfatning at informasjon og reservasjonsrett gir tilsvarende behandlingsgrunnlag som et samtykke Dette er ikke riktig Samtykke er et behandlingsgrunnlag etter helseregisterloven informasjon og rett til reservasjon som FHI kaller passivt samtykke er det ikke FHI anfører at Datatilsynet har akseptert passivt samtykke som behandlingsgrunnlag tidligere og viser til Helseundersøkelsen i Nord Trøndelag HUNT 2 FHI har rett i at det finnes tilfeller hvor Datatilsynet har funnet å kunne gi konsesjon på grunnlag av andre behandlingsgrunnlag enn samtykke men passivt samtykke er ikke et gyldig behandlingsgrunnlag Når det gjelder forskning er det nesten uten unntak personopplysningsloven 8 bokstav d og 9 bokstav h som er aktuelt som rettslig grunnlag Etter denne bestemmelsen skal det foretas en interesseavveining mellom samfunnsinteressen og personverninteressen I en slik kontekst vil det å sette som vilkår at de registrerte skal gis retten til å reservere seg mot at helseopplysningene blir brukt til forskning en måte å minske personvernulempen Interesseavveiningen må for øvrig gjøres konkret i hver enkelt sak og det kan vanskelig trekkes paralleller mellom saker med mindre faktum er likt Tilsynet kan ikke se at dette er tilfelle med HUNT 2 og Nasjonalt tvillingregister 5 5 Interesseavveining For behandling av helseopplysninger om personer som ikke kan sies å ha samtykket til registrering i Nasjonalt tvillingregister anføres det at helseregisterloven 5 jf personopplysningsloven 8 bokstav d og 9 bokstav h er rettslig grunnlag for registrering FHI har i søknaden beskrevet nytten av Nasjonalt tvillingregister Datatilsynet bestrider ikke nytteverdien av registeret men skal avveie samfunnsinteressen mot personverninteressene og ulempene det kan medføre for de registrerte Det må foreligge en klar overvekt i favør av de samfunnsmessige fordelene jf personopplysningsloven 9 h Faktorer som typisk vektlegges for å kunne si at personverninteressen er ivaretatt er kort lagringstid begrenset omfang få variabler lite sensitiv informasjon etc god identitetsforvaltning for eksempel tiltak for å skjerme de registrertes identitet psuedonymisering avidentifisering Nasjonalt tvillingregister skal være permanent Lagringstid kan dermed ikke vektlegges som et moment som ivaretar personverninteressen Nasjonalt tvillingregister inneholder mye og dels svært sensitiv informasjon om den enkelte registrerte f eks psykiatri Omfang kan dermed heller ikke vektlegges som et moment som ivaretar personverninteressen FHI har etablert et godt system for identitetsforvaltning i forskningsprosjekter Identitetsforvaltning kan dermed vektlegges som et moment som ivaretar personverninteressen FHI har etter hvert etablert gode kanaler for å gi forskningsdeltakerne informasjon om bruken av helseopplysningene Jevnlig kontakt med de registrerte og gode informasjonskanaler har i flere tilfeller blitt vektlagt som momenter som taler for at personvernet er ivaretatt på en god nok måte til at personopplysningsloven 8 d 9 h er oppfylt Informasjon er imidlertid sjelden tilstrekkelig alene behandlingsansvarlig er uansett forpliktet til å informere de registrerte om den behandling av helse og personopplysninger som gjøres For å oppfylle vilkårene personopplysningsloven 8 d 9 h må det noe mer til I Datatilsynets praksis finnes flere eksempler på at prosjekter med kort varighet og et begrenset omfang variabler i kombinasjon med god informasjon og god identitetsforvaltning i sum har blitt ansett for å oppfylle vilkårene FHI har etablert et permanent nasjonalt helseregister på basis av helseopplysninger innhentet i to spørreundersøkelser i 1992 og 1998 Registeret inneholder mye og detaljerte helseopplysninger og andre sensitive personopplysninger om den enkelte og er ment for bruk til forskning både nasjonalt og internasjonalt Datatilsynet står fast ved at deltakerne i spørreundersøkelsene har en berettiget interesse i aktivt å ta stilling til om de vil være registrert i Nasjonalt tvillingregister God identitetsforvaltning alene er ikke tilfredsstillende for å ivareta personvernet Heller ikke det faktum at det i senere tid er etablert gode informasjonskanaler Disse kanalene vil dessuten være best kjent for de som har deltatt i delprosjekter etter 1998 og dette er ikke alle Samlet sett mener Datatilsynet derfor at samfunnets behov for behandlingen i dette tilfellet må vike for personverninteressene 5 6 Konsekvenser av krav om samtykke FHI anfører at forskning på data fra Nasjonalt tvillingregister metodisk sett vil forringes ved at frafallet vil bli høyere dersom det må innhentes samtykker fra de registrerte Datatilsynet vurderer dette argumentets vekt som liten sett opp mot ulempen for den enkelte ved ikke selv å kunne bestemme om en ønsker å være registrert i et nasjonalt helseregister som skal brukes til forskning nasjonalt og internasjonalt 5 7 Forskjellsbehandling FHI anfører at Datatilsynet opererer med to forskjellige krav til samtykke og at dette bidrar til uforutsigbarhet i forvaltningen For avgjørelsen av hva som er et gyldig samtykke forholder Datatilsynet seg til definisjonen av samtykke i helseregisterloven 2 nr 11 For at et samtykke skal være informert skal de registrerte ha mottatt den informasjon som blir listet opp helseregisterloven 23 og 24 Dersom samtykket ikke oppfyller vilkårene i helseregisterloven 2 nr 11 23 og 24 må behandlingen søkes basert på et av nødvendighetskriteriene i personopplysningsloven 8 a f samt oppfylle et av vilkårene i 9 b h I konsesjonssaken til UiO var det på det rene at informasjonen som var gitt deltakerne i tvillingregisteret ikke tilfredsstilte kravene i helseregisterloven 23 og 24 Kravene til gyldig samtykke var dermed ikke oppfylt Når det likevel ble vurdert om konsesjon skulle gis må dette ha vært på et alternativt behandlingsgrunnlag Det fremkommer ikke av konsesjonen og heller ikke av de øvrige dokumentene i saken på hvilket grunnlag konsesjonen er gitt Datatilsynet mener dette er beklagelig og erkjenner at det er en svakhet ved vedtaket Som nevnt ovenfor er helseregisterloven 5 jf personopplysningsloven 8 d 9 h aktuelt rettslig grunnlag for behandling av helseopplysninger

    Original URL path: http://www.personvernnemnda.no/vedtak/2013_17.htm (2014-09-28)
    Open archived version from archive

  • Personvernnemnda
    og foreldrepenger Han mente derfor at ingen bostedsadresse var det samme som at barnet var registrert som Uten fast bosted og at dette var en uriktig opplysning som måtte endres Manglende innsyn Klager stilte seg uforstående til at barnet skulle ha arvet sørafrikansk nasjonalitet fra mor Han klaget derfor over manglende innsyn i hvordan opplysningene ble behandlet og i hvilke behandlingsrutiner som blir fulgt ved registrering av nasjonalitet for nyfødte barn med utenlandske foreldre Han hadde imidlertid fått veiledning fra Skatteetaten om at før britisk statsborgerskap kunne registreres måtte han dokumentere dette for eksempel ved å fremlegge kopi av barnets britiske pass Han hadde også fått muntlig beskjed om at det ikke var mulig å registrere Burundi som nasjonalitet for hans sønn 4 Klagers anførsler Klager har anført at det er opp til sakens parter å avgjøre når en sak er tilfredsstillende behandlet Han mener at Datatilsynet ikke har oppfylt sin forpliktelse etter personopplysningsloven 42 ettersom barnet hans stadig ikke har registrert en bostedsadresse i folkeregisteret Klager mener også at han ikke har fått innsyn i rutinene for handtering av personopplysninger ved folkeregisteret Videre hevder klager at han ikke har fått opplyst hvem som er behandlingsansvarlig for folkeregisteret Klager anfører at Datatilsynet må bistå ham i forbindelse med de ulemper han har lidd på grunn av at det er gått lang tid før korrigering av nasjonalitet og på grunn av manglende registrering av adresse Dette gjelder sosiale og medisinske ytelser som foreldrepenger barnetrygd og tildeling av fastlege Problemet er at de ulike etatene legger folkeregisterets opplysninger til grunn ved vurdering av om barnet er bosatt i Norge eller ikke Klager viser til at som følge av feilregistreringen i Folkeregisteret utstedte UNE et varsel om deportering til Burundi av hans forlovede og sønn Klager er av den oppfatning at Datatilsynet ikke kan avslutte saken når feilregistrering fortsatt foreligger og forårsaker store problemer for klager og hans familie Klager venter fortsatt på innsyn hos Folkeregisteret og Skatt Øst Klager venter også på svar fra Skattedirektoratet vedrørende kompensasjon etter personopplysningsloven 49 5 Datatilsynets vurdering På bakgrunn av Skattedirektoratets muntlige redegjørelse konkluderte Datatilsynet med at de opplysningene om sønnens nasjonalitet som klager hadde hevdet var uriktige var blitt korrigert Dette motbeviste også teorien om teknisk umulighet som grunn til manglende registrering av Burundi som nasjonalitet Når det gjelder manglende registrering av adresse hadde Datatilsynet ikke endret standpunkt fra den første avvisning av saken Tilsynets vurdering er at folkeregisterloven med tilhørende forskrifter har særbestemmelser for hvorvidt det skal registreres adresse og hvilken adresse en person skal registreres med Datatilsynet er av den prinsipielle oppfatning at klager ikke har rettskrav på å få behandlet sin sak på den måten han mener er passende Det er derimot en del av de frie forvaltningsskjønn å vurdere hvilke virkemidler som skal tas i bruk i hver enkelt sak herunder hva som må regnes som forholdsmessig I denne saken var det kjent at klager allerede har skrevet til både UDI UNE og Skattedirektoratet for å få klarlagt spørsmålet om nasjonalitet

    Original URL path: http://www.personvernnemnda.no/vedtak/2013_16.htm (2014-09-28)
    Open archived version from archive

  • Personvernnemnda
    om de skulle ha noe imot at legen vet hvilke medisiner de til enhver tid har brukt Det nevnes flere ganger i Datatilsynets brev at OUS er enig i noen avgjørelse og beskrivelser fra Datatilsynet Klager ønsker å påpeke at det gjelder Personvernombudet ved OUS og ikke det medisinske miljøet som har behandlet disse pasientene Klager anfører endelig at koblingen med Reseptregisteret vil gi det medisinske miljøet i Norge viktige data om levetid av pasienter med prostatakreft etter at de har progrediert på sin første hormonbehandling Slike data finnes ikke nasjonalt og heller i internasjonal litteratur men etterlyses ikke minst av de norske politikere som skal betale ny og meget kostbar behandling for slike pasienter med antagelig meget begrenset overlevelsestid Klager har fått flere henvendelser fra Statens Legemiddelverk og sykehusadministratorer om å estimere levetid av pasienter som har startet med 2 linjes hormonbehandling som mange av disse pasienter på grunn av progresjon Slike data finnes altså ikke men kunne genereres ut fra SPCG VIIs medisinske data hvis man kunne få dato for progresjon via kobling med Reseptregisteret 5 Datatilsynets vurdering Om Reseptregisterforskriften Reseptregisteret er etablert som et pseudonymt helseregister jf helseregisterloven 8 annet ledd I informasjonen som er gitt til befolkningen om Reseptregisteret heter det at lagrede reseptopplysninger ikke skal kunne tilbakeføres til legemiddelbruker Kjernen i dette er at ingen andre enn pasienten skal ha tilgang til både pseudonym identitet og helseopplysning samtidig Reseptregisterforskriften 4 1 stiller et rettslig reverseringsforbud Dette innebærer at det er ulovlig å omgjøre et pseudonymt register til å bli et personidentifiserbart register Reverseringsforbudet er imidlertid ikke til hinder for at pseudonyme registre kan sammenstilles forutsatt at dette skjer i tråd med reglene for pseudonyme registre Se HODs rundskriv I 8 2005 Pseudonyme helseregistre Datatilsynet har gjennom sin praksis tillatt koblinger av data fra Reseptregisteret som reelt sett oppfyller forskriftens krav til pseudonymitet Alle sammenstillinger med reseptregisterdata må utføres ved Reseptregisteret Pseudonymiseringen skjer i en lukket prosess som driftes av SSB som er pålagt å være tiltrodd pseudonymforvalter TPF for Reseptregisteret Folkehelseinstituttet har utarbeidet et notat om hvordan sammenstilling av data med Reseptregisteret skal gjennomføres med oversikt over de formelle kravene og selve koblingsprosessen Koblinger som ikke anses pseudonyme tillates kun dersom det foreligger samtykke fra de registrerte Tilsynet har tillatt samtykkebaserte koblinger fordi den enkelte registrerte i disse tilfellene gis anledning til å vurdere deltakelse selv Datatilsynet har ved samtykkebaserte koblinger med data fra Reseptregisteret stilt krav om at det eksplisitt er samtykket til koblingene Det anses ikke tilstrekkelig at det er avgitt et generelt samtykke for eksempel til andre helseregistre Begrunnelsen for dette strenge kravet er blant annet den informasjonen som er gitt til norske borgere om registeret Datatilsynet vurderer også at opplysningene i registeret er av en slik karakter at det er behov for høy grad av beskyttelse Datatilsynets vurdering og konklusjon i avslag på søknad om konsesjon Datatilsynet vurderte søknaden og kom til at søknad om konsesjon til å behandle helseopplysninger i forbindelse med forskningsprosjektet Anti androgen behandling med eller uten definitiv

    Original URL path: http://www.personvernnemnda.no/vedtak/2013_15.htm (2014-09-28)
    Open archived version from archive

  • Personvernnemnda
    det nødvendig å informere de det gjelder med mulighet for å kunne reservere seg mot forskning på materialet Det må derfor gis informasjon om oppbevaring og bruk av materialet på egnet måte på hjemmeside eller på en måte som gjør det mulig å nå målgruppen Klager oppfatter at Datatilsynet og REK har ulik oppfatning både når det gjelder lovforståelsen i forhold til kravene til samtykket og med hensyn til spørsmålet om hvorvidt det kunne være påregnelig for deltakerne at opplysningene ble brukt til forskning utover den opprinnelige helseundersøkelsen Klager mener formålet med opprettelse av helseregister slik det er beskrevet i konsesjonssøknaden er i overensstemmelse med det opprinnelige formål og at det derfor ikke er skjedd noen vesentlige endringer i formålet slik Datatilsynet hevder Klager mener dessuten at det faktum at behandlingsansvaret er overført fra STAMI til Kreftregisteret ikke i seg selv er noen indikasjon på at formålet er endret Denne overføringen er et resultat av økt kunnskap om sammenhengen mellom støveksponering og kreftrisiko jf det som fremgår ovenfor og større grad av internasjonalisering når det gjelder forskningssamarbeid Dersom Datatilsynets vedtak blir stående vil det i praksis bety at samtykket holder i forhold til oppbevaring av humant biologisk materiale i forskningsbiobanken og oppbevaring av helseopplysninger i tilknytning til denne frem til 2020 men at samtykket ikke er godt nok når det gjelder oppbevaring av de samme helseopplysningene til det omsøkte formål som for øvrig er innenfor forskningsbiobankens formål Klager mener Datatilsynet tar feil i lovanvendelsen og at samtykkene som ble avgitt er dekkende b Alternativt behandlingsgrunnlag i personopplysningsloven 8 og 9 Datatilsynet hevder subsidiært at det heller ikke foreligger behandlingsgrunnlag etter de øvrige alternativene i personopplysningsloven 8 og 9 Datatilsynet bestrider ikke at oppbevaring og behandling a opplysninger i helseregisteret som er tilknyttet Norwegian Farmers biobank kan ha samfunnsinteresse Samtidig mener tilsynet at hensynet til personvernet for de registrerte overstiger denne interessen med mindre de registrerte samtykker til registreringen I denne vurderingen fremgår at Datatilsynet har lagt avgjørende vekt på at grunnlaget for samtykkene som ble avgitt i 1991 er betydelig endret Det fremgår videre at Tilsynet har i sin praksis hatt en restriktiv holdning til å endre behandlingsgrunnlag dersom det opprinnelig er basert på samtykke fra de registrerte Videre Lojaliteten til den registrertes valgfrihet har som hovedregel veid tyngre enn hensynet til samfunnsinteressen Dersom man i en samtykkesituasjon gis informasjon om at behandling av opplysninger vil være valgfritt anses det svært uheldig om denne valgfriheten endres i etterkant Datatilsynets praksis tyder på at alternative behandlingsgrunnlag sjelden vil bli vurdert dersom det foreligger samtykke m a o en slags presumsjon om at lojalitet til den registrerte tilsier at alternative behandlingsgrunnlag ikke skal vurderes Klager mener lojaliteten til de registrerte i dette tilfellet tilsier at alternative behandlingsgrunnlag skal vurderes dersom man kommer til at samtykkene ikke er dekkende evt at samtykkene kombinert med en reell reservasjonsrett heller ikke er dekkende Det vises til det som er sagt ovenfor i tilknytning til pkt a om hva deltakerne kunne påregne Klager mener dessuten at Datatilsynet tar feil i lovanvendelsen og at de har en plikt til å realitetsbehandle om det foreligger alternativt behandlingsgrunnlag også i de tilfeller hvor det foreligger samtykke men hvor Datatilsynet mener samtykkene ikke er dekkende Det vises i den forbindelse til merknadene til personopplysningsloven 8 jf Ot prp nr 92 1998 1999 hvor det heter Vilkårene som til dels inneholder skjønnsmessige begreper krever en konkret vurdering i hvert enkelt tilfelle Klager mener Datatilsynet har plikt til å foreta en konkret vurdering av hvorvidt det foreligger alternative behandlingsgrunnlag i dette tilfellet c Datatilsynets kompetanse Det er klagers oppfatning at Datatilsynets praksis er for restriktiv når det gjelder forståelse av rekkevidden av egen konsesjonskompetanse Det vises i denne forbindelse til Helse og omsorgsdepartementets uttalelse i høring til forslag til ny helseregisterlov av 28 06 2013 pkt 16 2 3 hvor det fremgår følgende På bakgrunn av en del saker der Datatilsynet ikke har gitt konsesjon til medisinske kvalitetsregistre med nasjonal dekningsgrad er det skapt en uklarhet om hvorvidt Datatilsynet kan gi konsesjon til lokale regionale og sentrale registre som ikke er omfattet av forskrifter gift i medhold av helseregisterloven 7 eller 8 Videre Lovavdelingens vurdering er at Datatilsynet har en slik kompetanse uttalelse 30 april 2002 At dette var forutsetningen da loven ble vedtatt fremgår av lovens forarbeider Ot prp nr 5 1999 2000 under de generelle drøftelsene av sentrale helseregistre på side 92 og i kommentarene til 7 på side 187 samt lnnst 0 nr 62 2000 2001 Klager anfører at Datatilsynet har kompetanse til å gi konsesjon i dette tilfellet Oppsummeringsvis mener klager at Datatilsynet tar feil i lovanvendelsen i vurderingen av kravene til de opprinnelige samtykkene og at samtykkene er gyldige behandlingsgrunnlag for den omsøkte behandling For det tilfellet at Personvernnemnda skulle være enig med Datatilsynet eller komme til at samtykkene ikke er dekkende på annet grunnlag mener klager en reservasjonsrett vil kunne kompensere for eventuelle personvernulemper Videre er det klagers oppfatning at Datatilsynets praksis når det gjelder unnlatelse av å vurdere alternative behandlingsgrunnlag ikke er i overensstemmelse med gjeldende rett Datatilsynet kan under enhver omstendighet ikke anføre at tilsynet ikke har kompetanse til å gi konsesjon i dette tilfellet 5 Datatilsynets vurdering Datatilsynet avslo søknaden i vedtak av 13 februar 2013 Avslaget var delvis begrunnet i usikkerhet rundt lovligheten av behandling av opplysninger i det eksisterende registeret og delvis i manglende behandlingsgrunnlag Datatilsynet kunne ikke se at det forelå gyldig konsesjon til helseregisteret tilknyttet Norwegian Farmers biobank på søknadstidspunktet Datatilsynet kom også til at det ikke forelå gyldig behandlingsgrunnlag for de endringene og utvidelsene av registeret det ble søkt om Opprinnelig var registeret basert på samtykke fra de registrerte Samtykkene som ble avgitt av deltakerne omfattet behandling av opplysninger i forbindelse med Helseundersøkelsen for bønder i Norge og var knyttet opp mot bønders helse og støvproblemer Kreftregisteret la opp til en løsning hvor bøndene skulle informeres og gis muligheten til å trekke seg fra registeret Datatilsynet kom til at dette ikke tilfredsstilte kravene til samtykker som stilles i

    Original URL path: http://www.personvernnemnda.no/vedtak/2013_14.htm (2014-09-28)
    Open archived version from archive

  • Personvernnemnda
    medført merarbeid for Dem beklages dette Klager minner om Borgartings dom av 11 2 2013 hvor lagmannsretten legger til grunn at rapportene er falske De rettsoppnevnte sakkyndige i sakskomplekset fikk innsyn i de falske rapportene av klager i møte ved Ahus i 2003 De spurte etter dem etter å ha lest politilege Yngve Ystad rapport av september 2001 som er basert kun på de falske rapportene av desember 1983 som ble produsert ved FSK ved Tommy Ranum og som Oslo statsadvokatembete legger til grunn i 2002 at judisiell observasjon ikke vil være nødvendig på bakgrunn av politilegens konklusjon Oppdraget bortfaller dermed Det forutsettes at Datatilsynets avdelingsdirektør Kim Ellertsen redegjør uttømmende og dokumenterer Oslo statsadvokatembetes arbeid funn og resultat om dette Også mandatet og grunnlag fremlagt for spes psykolog Østgård og Restan i 2001 2002 Klager legger til grunn at oppdrag og mandat til Restan og Østgaard var et rent bestillingverk i fra påtalemyndigheten Ingen av de sakkyndige var kjent for klager eller godkjent av klager eller noen forsvarer i 2001 Arbeidsmetoden er helt lik Telenor ved advokat Trond Werner Lunde i 2012 2013 hvor de selv oppnevner privat sakkyndig Lars Weisæth og Trond Heir uten avtale eller kontakt med klager klagers advokat eller at klager blir innkalt til å møte Lars Weisæth og Trond Heir Også disse benytter seg av politilege Yngve Ystads rapport av 2001 Det vises til Krigsadvokatenes brev av 4 7 2013 i sakens anledning og som nødvendiggjør oppfølging og avklaring i sak ved nemnda Det vises også til forhold kommentarer innsigelser i inntatt kopi av e post av 11 8 2013 til Hammersborg inkasso ved Nina Haraton De samme forhold gjøres gjeldende i nærværende sak PVN 2013 13 for Personvernnemnda inkl nylig EMD dom som er omtalt i e post til politidirektoratet av 12 8 2013 som omhandler Saken var mellom Rousk og Sverige og tok opp hvilke beskyttelse den vanlige mann og kvinne har mot uproporsjonale tvangsinngrep fra offentligmyndighet Datatilsynet ved Knut Brede Kaspersen skulle gjennomført kravet om sletting og kontroll slik at opplysningene faktisk ble slettet makulert i Televerket Telenor mv i sak 92 347 ved tilsynet Tilsynet burde gjennomført en mer forsvarlig saksbehandling i 1992 ved gjennomføring av statens plikt og i denne sak helt nødvendig den positive sikringsplikt i henhold til EMD bestemmelser Da kunne tilsynet bidratt til å forhindre ytterligere misbruk i 1992 av allerede misbrukte opplysninger i sak 92 347 og gjennomført sanksjoner kontroller fremover i sakskomplekset til dags dato For at Personvernnemnda skal kunne behandle saken forsvarlig må alle sakens dokumenter bli fremsendt oversendt fra Datatilsynet Slik saken nå er opplyst fra Datatilsynet er saken ikke blitt opplyst eller redegjort for på en betryggende måte Klager forutsetter at dette nå blir reparert i det videre arbeid i nemnda og at klager gis anledning til å uttale seg ytterligger når sakens alle dokumenter og dokumentliste foreligger fra Datatilsynet Saken omhandler i alt ca 30 år med overgrep og krenkelser hvor særlig EMK artikkel 8 brudd er gjentagende og gjort med

    Original URL path: http://www.personvernnemnda.no/vedtak/2013_13.htm (2014-09-28)
    Open archived version from archive

  • Personvernnemnda
    virksomheten og den uautoriserte utleveringen av opplysninger av helseregisterloven Dette fordi virksomheten er en del av helsetjenesten etter helseregisterloven 3 Datatilsynet mener også virksomheten i denne saken har behandlet helseopplysninger for å fremme formål som er beskrevet i lovens 1 Datatilsynet mener også det er utlevert helseopplysninger om pasientene Begrepet helseopplysning og konkret vurdering Generell vurdering av begrepet helseopplysning Definisjonen av helseopplysninger i helseregisterloven 2 nr 1 lyder taushetsbelagte opplysninger i henhold til helsepersonelloven 21 og andre opplysninger og vurderinger om helseforhold eller av betydning for helseforhold som kan knyttes til en enkeltperson Slik Datatilsynet tolker ordlyden i helseregisterloven 2 nr 1 er begrepet helseopplysning nokså vidtrekkende Begrepet er omtalt på følgende måte i Ot prp nr 5 1999 2000 helseregisterloven side 178 til 179 Taushetsbelagte helseopplysninger etter helsepersonelloven er opplysninger om folks legems eller sykdomsforhold eller andre personlige forhold som helsepersonell for vite om i egenskap av å være helsepersonell Alle pasientopplysninger dvs taushetsbelagte opplysninger i henhold til helsepersonelloven omfattes av gruppen helseopplysninger Langt de fleste helseopplysninger vil også være pasientopplysninger men det kan likevel tenkes helseopplysninger som ikke kan sies å være pasientopplysninger for eksempel fordi opplysningene ikke kan sies å være mottatt av helsepersonell i egenskap av å være helsepersonell Opplysning om helseforhold skal forstås på samme måte som i forslag til lov om behandling av personopplysninger 2 nr 8 bokstav c Det fremgår av merknadene til definisjonen i nevnte bestemmelse at uttrykket helseforhold omfatter opplysninger om en persons tidligere nåværende og fremtidige fysiske eller psykiske tilstand inkludert opplysninger om medisin og narkotikamisbruk Videre uttales at også opplysninger om sosiale forhold kan falle inn under helseforhold dersom de sosiale forholdende påvirker helsen Det vises også til Ot prp nr 5 1999 2000 helseregisterloven punkt 7 2 1 3 Der legges det til grunn at alle opplysninger som nedtegnes i en pasientjournalen er helseopplysninger i helseregisterlovens forstand Det vises til følgende uttalelse Etter lov om helsepersonell 39 plikter helsepersonell å nedtegne eller registrere nærmere bestemte opplysninger anført i samme lov 40 Alle opplysningene som på denne bakgrunn nedtegnes i pasientjournalen er helseopplysninger i denne lovens forstand I Innst O nr 55 2007 2008 punkt 1 3 uttales følgende om forholdet mellom begrepet helseopplysning i helseforskningsloven og helseregisterloven Når det gjelder helseopplysninger så er det foreslått at disse gis tilsvarende virkeområde som helseregisterloven I NOU 2005 1 punkt 4 4 3 er følgende uttalt om begrepet helseopplysninger Helseopplysning omfatter objektive data som for eksempel høyde vekt medikamentbruk tidligere sykdommer inkludert sykdommer hos slektninger og familiesituasjon og mer subjektive utsagn som for eksempel opplevd helsetilstand og dens påvirkning på dagliglivets aktiviteter Kvinner vil ofte etterlate seg flere og mer sensitive helseopplysninger enn menn for eksempel ved helsekontroller Datatilsynet peker også på at etterarbeider har en viss vekt i vurderingen av begrepet helseopplysning Det vises i den forbindelse til Helse og omsorgsdepartementets brev av 27 august 2010 på side 1 til 2 Der beskriver departementet først at det flere steder i helseforskningslovens lovforarbeider er forutsatt at definisjonen helseopplysninger skal gjelde tilsvarende helseregisterlovens definisjon Departementet skriver deretter følgende Det er viktig å merke seg at en og samme opplysning kan være personopplysning dvs opplysning og vurdering som kan knyttes til en enkeltperson uten at det knyttes til helseforhold i en sammenheng og helseopplysning i en annen sammenheng Dette gjelder for eksempel opplysninger som er innsamlet for andre samfunnsformål enn helse men som på et senere tidspunkt er inntatt i et helseforskningsprosjekt Etter departementets oppfatning er det derfor også av betydning for om en opplysning omfattes av begrepet helseopplysning er hvilket formål opplysningene er samlet inn for og hvem som er databehandlingsansvarlig for opplysningene Slik Datatilsynet forstår uttalelsene fra departementet vurderes de at en og samme opplysning kan være en personopplysning i en sammenheng uten at den kan knyttes til helseforhold men helseopplysning i en annen sammenheng Videre at formålet opplysningene er innsamlet for og hvem som er databehandlingsansvarlig er av betydning for om en opplysning omfattes av begrepet helseopplysning Datatilsynet deler departementets vurdering av at formålet og hvem som er databehandlingsansvarlig er relevant i vurderingen av begrepet helseopplysning Datatilsynet mener at opplysninger som er innsamlet i et helseregister og derfor er innenfor helseregisterlovens saklige virkeområde normalt må anses som helseopplysninger Etter Datatilsynets vurdering trekker formålet med innsamlingen av opplysningene samt at behandlingen foretas av en databehandlingsansvarlig i helse og omsorgsforvaltningen eller helse og omsorgstjenesten i denne retning Det vises til helseregisterloven 3 og 1 Spesielt når opplysningene er innsamlet til et behandlingsrettet helseregister i forbindelse med at det ytes helsehjelp for eksempel gjennom helsekontroller og screeningsundersøkelser jf også ovenfor nevnte uttalelse i Ot prp nr 5 1999 2000 helseregisterloven punkt 7 2 1 3 Datatilsynet mener også at konsekvens og harmoniseringshensyn trekker i samme retning Datatilsynet peker for eksempel på at en for snever tolking av begrepet helseopplysning innebærer at deler av opplysningene i et helseregister herunder behandlingsrettede helseregistre blir regulert av de alminnelige bestemmelsene i personopplysningsloven Dersom personopplysningsloven regulerer deler av opplysningene i et behandlingsrettet helseregister vil dette få både rettslige og praktiske konsekvenser For eksempel for mulighetene til samhandling av opplysninger med hjemmel i helseregisterloven med forskrifter Det vises blant annet til forskrift om informasjonssikkerhet ved elektronisk tilgang til helseopplysninger i behandlingsrettede helseregistre Det vises også til forskrift om virksomhetsovergripende pasientjournal i formalisert arbeidsfellesskap Konkret vurdering av begrepet helseopplysning for denne saken Etter Datatilsynets vurdering er opplysninger om fødselsnummer og vekt i seg selv å anse som helseopplysninger Datatilsynet antar at det også foreligger informasjon om hvilket utstyr opplysningene er uthentet fra Datatilsynet peker at ordlydsforståelsen av begrepet helseopplysninger er vidtrekkende og mener disse opplysningene er omfattet av begrepet Datatilsynet mener en slik ordlydsforståelse også har støtte i lovens forarbeider og etterarbeider Det vises også spesielt til NOU 2005 1 punkt 4 4 3 Tilsynet mener i tillegg at konsekvens og harmoniseringshensyn trekker i samme retning Om informasjonsplikt Informasjon om hvilke personopplysninger som behandles om en og andre forhold rundt behandlingen er viktige forutsetninger for at den registrerte skal kunne utøve kontroll over egne personopplysninger kreve innsyn og eventuelt retting og sletting Den databehandlingsansvarlige skal derfor av eget tiltak informere den registrerte om visse forhold bestemmelsens nr 1 til 5 når det samles inn opplysninger fra den registrerte jf helseregisterloven 23 Det følger av ordlydsforståelsen av begrepet at omfatter både direkte og mer indirekte innsamling av opplysninger fra den registrerte At begrepet samler inn fra den registrerte selv skal forstås på en slik måte følger også av lovforarbeidene til bestemmelsen jf Ot prp nr 5 1999 2000 helseregisterloven side 199 Der står blant annet følgende Uttrykket samler inn opplysninger fra den registrerte omfatter både muntlige og skriftlige henvendelser Langt de fleste helseopplysninger blir samlet inn av helsepersonell i tilknytning til at personer pasienter henvender seg til helsetjenesten for undersøkelse behandling etc Det sentrale i denne sammenheng er det som står senere på samme side i lovforarbeidene Helseopplysninger kan også samles inn ved at helseforvaltningen eller helsetjenesten gjennomfører ulike screeningsundersøkelser helseundersøkelser spørreundersøkelser etc Etter Datatilsynets vurdering er det innsamlet helseopplysninger fra den registrerte selv gjennom screeningundersøkelse og helseundersøkelser av de registrerte pasienter Informasjonsplikten etter helseregisterloven 23 gjelder derfor ved innsamlingen av disse opplysningene fra de registrerte Unntak fra denne informasjonsplikten følger av helseregisterloven 23 annet ledd og helseregisterloven 25 Datatilsynet peker på at unntaket i helseregisterloven 23 siste ledd ikke kommer til anvendelse Det følger av sakens opplysninger at det ikke er på det rene at de registrerte allerede kjenner til opplysningene i helseregisterloven 23 første ledd Datatilsynet kan heller ikke se at unntak fra informasjonsplikten i helseregisterloven 25 kommer til anvendelse Datatilsynet ser at praktiske hensyn taler mot å informere de registrerte individuelt om den uautoriserte utleveringen Datatilsynet peker imidlertid på at det ikke foreligger unntak fra informasjonsplikten i helseregisterloven 23 annet ledd og 25 ut fra praktiske hensyn Datatilsynet kan ikke se at unntaket i helseregisterloven 25 nr 3 kommer til anvendelse Der fremgår det at informasjonsplikten ikke omfatter opplysninger som det må anses utilrådelig at den registrerte får kjennskap til av hensyn til vedkommendes helse eller forholdet til personer som står vedkommende nær Det følger av ordlyden utilrådelig at det er et strengt krav Datatilsynet kan ikke se at det er utilrådelig i informere de registrerte pasientene i denne saken Unntak fra informasjonsplikten etter helseregisterloven 24 annet ledd nr 2 gjelder ikke for helseregisterloven 23 Helseregisterloven 24 annet ledd nr 2 gjør unntak fra informasjonsplikten dersom varsling er umulig eller uforholdsmessig vanskelig Om varsling anses uforholdsmessig må avgjøres etter en konkret vurdering av om den registrerte har nytte av å bli varslet vurdert opp mot de ressurser det vil kreve Datatilsynet går nedenfor nærmere inn på vurdering av adgangen til å gi pålegg om informasjonsplikt Om helseregistre og behandling av helseopplysninger Helseregisterloven hjemler forskjellige typer helseregistre etter deres administrative og juridiske forankring Det vil si avhengig av om de er forankret i en sentral enhet en regional eller lokal enhet og om de er basert på samtykke eller et annet rettslig grunnlag Behandlingsrettede helseregistre er en type helseregister Etter helseregisterloven 5 første ledd første punktum kan helseopplysninger bare behandles elektronisk når dette er tillatt etter personopplysningsloven 9 og 33 helseforskningsloven eller behandlingen følger av annen lov Behandling av helseopplysninger i behandlingsrettede helseregistre vil normalt ha hjemmel i helseregisterloven 5 første ledd jf helsepersonelloven 39 og 40 jf journalforskriften Den uautoriserte uthentingen av helseopplysninger til en teknisk leverandør i USA har ikke hjemmel i helseregisterloven 5 Et spørsmål som ikke er vurdert nærmere i denne saken er i hvilken grad helsepersonelloven kan utgjøre hjemmelsgrunnlag for overføring av helseopplysninger til USA jf helseregisterloven 5 første ledd Dette må også vurderes opp mot helsepersonelloven 2 om virkeområde Dersom overføringen og behandlingen av helseopplysninger i USA ikke har hjemmel i lov etter helseregisterloven 5 er alternativet konsesjon fra Datatilsynet Om overføring av helseopplysninger Helseregisterloven har ikke bestemmelser om overføring av helseopplysninger til utlandet Derfor gjelder personopplysningsloven kapittel V utfyllende jf helseregisterloven 36 Den uautoriserte overføringen av helseopplysninger til en teknisk leverandør i USA har ikke hjemmel i personopplysningsloven 30 første ledd og faller også utenfor personopplysningsloven 29 Et annet spørsmål som ikke er vurdert nærmere i denne saken er forholdet til regler om overføring av helseopplysninger til USA For eksempel om en planlagt overføring av helseopplysningene til GE som databehandler kunne vært omfattet av Safe Harbor avtalen eller om den måtte vært forhåndsgodkjent av Datatilsynet etter personopplysningsloven 30 annet ledd GE Healthcare Medical Diagnostic er oppført på Safe Harbor listen Et spørsmål er om denne sertifiseringen også omfatter GE Healthcare Systems Datatilsynet legger ved et varsel om vedtak i en søknad om overføring av helseopplysninger til USA Det vises til vedlagt dokument 12 00526 2 og spesielt til vurderingen av krav til informasjon til de registrerte ved slike overføringer Om Datatilsynets adgang til å gi pålegg og pålegg om informasjonsplikt Det følger av helseregisterloven 32 at Datatilsynet kan gi pålegg om at behandling av helseopplysninger i strid med bestemmelser i eller i medhold av denne lov skal opphøre eller stille vilkår som må oppfylles for at behandlingen av helseopplysninger skal være i samsvar med loven Bestemmelsen gir ikke adgang for Datatilsynet til å gi pålegg om strengere regulering enn det loven eller forskriften gir adgang til Datatilsynet kan bare sette vilkår som bringer behandlingen av helseopplysninger innenfor lovens ramme Datatilsynet har knyttet pålegget etter helseregisterloven 32 opp mot å bringe utleveringen av helseopplysninger i samsvar med informasjonsplikten etter helseregisterloven 23 Datatilsynet fremhever at dersom helseopplysningene lovlig skulle vært utlevert til en teknisk leverandør som ikke er databehandler ville informasjonsplikten etter helseregisterloven 23 gjort seg gjeldende jf bestemmelsens første ledd nr 3 Datatilsynet påpeker dessuten at informasjon om utlevering av helseopplysninger ikke bare er en personverninteresse men også en pasientinteresse Informasjonsplikt om utlevering av helseopplysninger er nedfelt i den alminnelige helselovgivningen se for eksempel pasient og brukerrettighetsloven 3 6 tredje ledd Bestemmelsen pålegger en individuell informasjonsplikt i tilfeller hvor det foreligger en lovbestemt opplysningsplikt om utlevering av taushetsbelagte opplysninger Datatilsynet mener det også er en viktig pasientinteresse å få individuell informasjon om uautoriserte utleveringer av helseopplysninger Datatilsynet påpeker også at hovedregelen om behandling av helseopplysninger er samtykke med mindre annet er bestemt i eller i medhold av lov jf helseregisterloven 5 tredje ledd Den uautoriserte utleveringen av helseopplysninger har ikke hjemmel i lov til å gjøre unntak fra hovedregelen om samtykke Etter Datatilsynet vurdering er dette et moment i en fra det mer til det mindre betraktning som tilsier at pålegg om informasjon er innenfor rammene av helseregisterloven 32 Datatilsynets kompetanse er begrenset ovenfor en teknisk leverandør i USA Tilsynet kompetanse er derfor også begrenset når det gjelder pålegg om sletting anonymisering av ulovlige utleverte helseopplysninger Datatilsynet mener dette forsterker personverninteressen pasientene har i å få individuell informasjon om de uautoriserte utleveringene Tilsynet fremhever også at det er opplyst at opplysningene ikke kan slettes etter amerikansk lovgivning Dette fordi det kan forekomme erstatningskrav Etter Datatilsynets vurdering er dette også et hensyn i retning av at individuell informasjonsplikt Det påpekes også at dersom pasientene de registrerte ikke blir informert om den uautoriserte utleveringen av helseopplysninger kan de heller ikke foreta en vurdering av om det er grunn til å kreve erstatning etter helseregisterloven 35 De sentrale hensynene som står imot hverandre i denne saken er personvern og pasientinteresser på den ene siden og praktiske hensyn på den andre siden Datatilsynet har i denne saken kommet til at det ligger klart innenfor tilsynets påleggskompetanse å vektlegge personvern og pasientinteresser tyngre enn de praktiske hensynene som taler imot informasjonsplikt Datatilsynet mener det ikke er stilt strengere vilkår enn det helseregisterloven 32 gir adgang til når det gjelder individuell informasjonsplikt 6 Personvernnemndas merknader Personvernnemnda har vurdert tilsvarende problemstilling i PVN 2013 05 Diakonhjemmet sykehus Faktum i denne saken er sammenlignbart med PVN 2013 05 idet det også i denne saken er blitt utlevert informasjon om personer som har vært til en MR undersøkelse samt vedkommendes vekt og fødselsnummer Personvernnemnda er derfor kommet til samme konklusjon i herværende sak Nemndas resonnement fra PVN 2013 05 hitsettes Personvernnemnda har vurdert hjemmelsgrunnlaget for å pålegge sykehusene å informere de berørte identifiserte pasientene om hendelsen jf Datatilsynets påleggspunkt nr 3 i vedtaket Datatilsynet har anvendt helseregisterloven 23 som lyder 23 Informasjonsplikt når det samles inn opplysninger fra den registrerte Når det samles inn helseopplysninger fra den registrerte selv skal den databehandlingsansvarlige av eget tiltak først informere den registrerte om 1 navn og adresse på den databehandlingsansvarlige og dennes eventuelle representant 2 formålet med behandlingen av helseopplysningene 3 opplysningene vil bli utlevert og eventuelt hvem som er mottaker 4 det er frivillig å gi fra seg helseopplysningene og 5 annet som gjør den registrerte i stand til å bruke sine rettigheter etter loven her på best mulig måte som for eksempel informasjon om retten til å kreve innsyn jf 22 og retten til å kreve retting og sletting jf 26 og 28 Personopplysningsloven 19 har tilsvarende regulering Dette er en bestemmelse som pålegger den behandlingsansvarlige en informasjonsplikt når det samles inn opplysninger fra den registrerte Orienteringen fra behandlingsansvarlig skal gis av eget tiltak og før registreringen finner sted Den registrerte skal få beskjed om hvorvidt opplysningene vil bli utlevert jf første ledd nr 3 og om eventuelt annet som gjør den registrerte i stand til å bruke rettighetene sine Aktuelle rettigheter er for eksempel den registrertes innsynsrett og adgangen til å få rettet eller slettet opplysninger jf første ledd nr 5 I denne saken var det ikke ment å skje noen utlevering Sykehusene skulle ikke utlevere slike opplysninger og GE skulle ikke behandle personopplysninger Sykehusene hadde således ingen foranledning til å informere den registrerte i samsvar med helseregisterlovens 23 om at det skulle skje en utlevering til GE GE samlet likevel inn data om pasientene Det er opplyst at GE ikke bevisst har kopiert personopplysninger om de registrerte men tilegnet seg slike automatisk under vedlikeholdsarbeid på apparatene Når opplysningene så er sendt til og lagret hos GE i USA er de utenfor norske myndigheters jurisdiksjon og GE kan ikke pålegges å slette dem Det er videre opplyst at GE ikke vil slette dem Spørsmålet er da om slik utilsiktet utlevering av helseopplysninger personopplysninger utløser en plikt for sykehusene til å varsle de registrerte om utleveringen Datatilsynet har lagt til grunn at det følger en slik plikt av helseregisterloven 23 nr 5 jf personopplysningsloven 19 bokstav e Tilsynet mener at dette er informasjon om annet som gjør den registrerte i stand til å bruke sine rettigheter etter loven Nemnda ser det slik at en varslingsplikt ved utilsiktet utlevering ikke følger direkte av lovens ordlyd jf helseregisterloven 23 nr 3 og 5 jf personopplysningsloven 19 bokstav c og e Varslingsplikten gjelder i forkant av innsamlingen jf 19 bokstav c Ordlyden sier samles inn først og vil bli Spørsmålet er dermed om man kan foreta en utvidende tolkning for å pålegge en slik varslingsplikt også i en situasjon der utlevering allerede har funnet sted uten at varsling ble foretatt Situasjonen er altså den at om sykehuset selv hadde blitt klar over at dataene ville bli lastet ned og overført til USA av GE ville det ha foreligget en informasjonsplikt på et tidligere tidspunkt Nemnda ser det slik at mislighold av en slik plikt neppe i seg selv ville kunnet suspendere plikten I denne saken var imidlertid sykehuset ikke klar over at personopplysninger ville bli kopiert av GE og overført til selskapets database i USA Det rettslige spørsmålet er dermed slik flertallet i nemnda ser det om denne manglende kunnskap hos den behandlingsansvarlige fratar de registrerte retten til å være informert om overførselen og derved behandlingsansvarlige plikten til å gi informasjon om hendelsen i ettertid Det rettslige utgangspunktet er at forvaltningen trenger en lovhjemmel for å gi pålegg Det har vært diskutert så vel i rettspraksis som i juridisk teori hvor klar en slik hjemmel må være Med andre ord i hvilken grad andre rettskildefaktorer enn lovens ordlyd er relevante ved tolkningen av hjemmelen Det har vært formulert som spørsmålet om det er et klarhetskrav i legalitetsprinsippet og i så fall hvilket nivå dette ligger på Høyesterett har ved flere anledninger lagt til grunn at reelle

    Original URL path: http://www.personvernnemnda.no/vedtak/2013_12.htm (2014-09-28)
    Open archived version from archive



  •