12. Forskning på helseopplysninger

Kort oppsummert

• Behandling av helseopplysninger i medisinsk og helsefaglig forskning må følge både helseforskningsloven, personvernregelverket og taushetspliktsreglene.
• All behandling av helseopplysninger krever lovlig behandlingsgrunnlag.
• Taushetsplikten må være opphevet eller unntatt før opplysninger kan tilgjengeliggjøres
• Enkelte prosjekter innen helseregisterforskning følger i hovedsak de samme reglene som annen helseforskning, men er unntatt REKs forhåndsgodkjenning.

Sentrale lovbestemmelser (lovdata.no)

• Helseforskningsloven §§ 7, 9 og kapittel 7
• Personvernforordningen artikkel 5, 6, 9, 30, 35 og 89
• Helseregisterloven §§ 19 flg.
• Helsepersonelloven §§ 21 og 29 e

Det følger av helseforskningsloven § 2 at personvernforordningen og personopplysningsloven gjelder fullt ut når helseopplysninger brukes i forskning. Behandling av helseopplysninger i medisinsk og helsefaglig forskning skal derfor være i samsvar med prinsippene i personvernforordningen artikkel 5 og skje innenfor et tydelig definert formål. Helseopplysningene skal være relevante og nødvendige for å nå forskningsprosjektets formål. Graden av personidentifikasjon for helseopplysninger skal ikke være større enn nødvendig for å nå formålene.

I tillegg kreves det at taushetsplikten om opplysningene ivaretas. Se omtale i kapitlet Helseopplysninger er underlagt taushetsplikt.

Bruk av allerede innsamlede helseopplysninger er å anse som forskning på helseopplysninger. Opplysninger fra pasientjournal, fra helseregistre eller andre registre omfattes.

Slike forskningsprosjekter er å anse som medisinsk og helsefaglig forskning, og må følge kravene i helseforskningsloven. I utgangspunktet kreves det at prosjektet har fått forhåndsgodkjenning av REK. Se omtale i kapitlet om søknad om forhåndsgodkjenning til REK.

Lovens bestemmelser om forsvarlighet, forskningsprotokoll, sluttmelding og andre organisatoriske krav til forskningen gjelder også forskning på helseopplysninger.

Det er et unntak for søknad om forhåndsgodkjenning til REK for helseregisterforskning (såkalt rene registerstudier), se omtale i kapitlet om unntak fra kravet om forhåndsgodkjenning for helseregisterforskning.

Helseopplysninger er i helseforskningloven § 4 bokstav d definert som «personopplysninger om en fysisk persons fysiske eller psykiske helse, medregnet om ytelse av helsetjenester, som gir informasjon om vedkommendes helsetilstand, jf. personvernforordningen artikkel 4 nr. 15 (lovdata.no).

Helseopplysninger er personopplysninger som sier noe om en person sin psykiske eller fysiske helse. Informasjon om helsetjenester en person har mottatt, som røper noe om helsetilstanden, er også helseopplysninger. Behandlingen av helseopplysningen kan skje i form av innsamling, oppbevaring, statistiske analyser eller tilgjengeliggjøring.

Helseopplysninger kan være direkte personidentifiserbare helseopplysninger eller indirekte personidentifiserbare helseopplysninger. Helseopplysninger som er direkte personidentifiserbare kan knyttes til enkeltpersoner for eksempel ved hjelp av navn eller fødselsnummer. Når datasettet inneholder indirekte personidentifiserbare helseopplysninger, vil direkte identifiserbare kjennetegn som fødselsnummer være fjernet.

Allikevel kan opplysningene knyttes til en enkeltperson. Det kan være på grunn av at variablene samlet sett identifiserer en person, som bostedskommune, alder og diagnose sett i sammenheng. Indirekte personidentifiserbare helseopplysninger kan også være knyttet til en enkeltperson i et datasett via en koblingsnøkkel/studieID/løpenummer. Når fødselsnummeret byttes ut med et løpenummer i datasettet, vil det være mulig å gjenfinne personen ved å se på en oversikt over hvem løpenummeret tilhører.

Reglene i personvernforordningen og helseforskningsloven gjelder for all forskning på helseopplysninger, herunder forskning på opplysninger om avdøde personer så langt de passer, jf. helseforskningsloven § 2 annet ledd.

Alle som medvirker i et forskningsprosjekt, har taushetsplikt jf. helseforskningsloven § 7 (lovdata.no). Bestemmelsen sier at enhver som får tilgang til helseopplysninger eller andre personopplysninger som blir behandlet i et forskningsprosjekt, skal hindre at andre får adgang eller kjennskap til opplysningene.

Taushetsplikten er ikke bare en plikt til å tie, den innebærer også en aktiv plikt til å hindre uvedkommende i å få tilgang på taushetsbelagte opplysninger. Den enkelte som får tilgang til taushetsbelagte opplysninger, har et selvstendig ansvar for å ivareta taushetsplikten. I tillegg har forskningsansvarlig et ansvar for å sørge for forsvarlig opplæring, etablering av rutiner og prosedyrer, etablering og vedlikehold av tilfredsstillende løsninger for informasjonshåndtering. Systemene for behandling av helseopplysninger i medisinsk og helsefaglig forskning må være tilpasset virksomhetens aktiviteter, og egnet til dette formålet.

Det følger av § 7 annet ledd at taushetsplikten ikke er til hinder for at opplysninger gjøres kjent for den som de direkte gjelder, dvs. forskningsdeltakeren. Se for øvrig omtale i kapitlet om forskningsdeltakernes rett til innsyn i egne opplysninger.

Taushetsplikten er heller ikke til hinder når helseopplysningene utleveres og mottaker har et rettslig grunnlag for å få opplysningene utlevert. Hovedregelen er at medisinsk og helsefaglig forskning skal bygge på deltakernes samtykke, både til selve deltakelsen og til behandling av helseopplysninger, jf. helseforskningsloven § 13. Se omtale i kapitlet om hovedregelen om krav til samtykke til deltakelse i forskning.

Andre rettslige grunnlag vil kunne være der REK fatter vedtak om unntak fra samtykke etter §§ 14 a, 15 annet ledd og 19. Se omtale i kapitlene Unntak fra kravet om samtykke for prosjekter som innebærer ingen eller liten risiko eller ulempe for forskningsdeltakerne, Unntak fra kravet til samtykke ved ny eller endret bruk av innsamlet biologisk materiale eller helseopplysninger og Unntak fra kravet om samtykke for forskning i kliniske nødssituasjoner.

Et annet eksempel er et vedtak om dispensasjon fra taushetsplikten etter helsepersonelloven § 29 e, som vil sette rammer for lovlig bruk av opplysningene i forskningsprosjektet. Les mer om dispensasjon i kapitlet Helseopplysninger er underlagt taushetsplikt.

Taushetsplikten vil være en begrensning for i hvilken utstrekning helseopplysningene i forskningsprosjektet kan deles med utenforstående eller publiseres. Dette må skje i samsvar med rammene av samtykket som er gitt fra deltakeren.

Publisering av forskningsresultater i medisinsk og helsefaglige forskningsprosjekter må derfor som regel gjøres anonymt. Les mer om skillet mellom helse- og personopplysninger og anonyme opplysninger i kapitlet om tilgang til helseopplysninger til bruk i medisinsk og helsefaglig forskning og åpenhet om medisinsk og helsefaglig forskning.

Helseopplysninger er en særlig kategori av personopplysninger. Personvernforordningen regulerer behandling av personopplysninger. Med personopplysninger menes enhver opplysning om en identifisert eller identifiserbar fysisk person («den registrerte»); en identifiserbar fysisk person er en person som direkte eller indirekte kan identifiseres […], jf. artikkel 4 nr. 1.

Med behandling menes i denne sammenhengen enhver form for behandling av personopplysninger, for eksempel innsamling, registrering, strukturering, lagring, bruk, utlevering, spredning eller alle andre former for tilgjengeliggjøring, jf. definisjonen i personvernforordningen artikkel 4 nr. 2.

Personvernforordningen og personopplysningsloven gjelder dermed ved behandling av helseopplysninger i forskning, jf. helseforskningsloven § 2. 

For all behandling av personopplysninger, inkludert helseopplysninger, gjelder personvernforordningen artikkel 5. Her fremgår de grunnleggende prinsipper for behandling av personopplysninger. Disse gjelder også i helseforskningsprosjekter. Det stilles krav om at behandlingen av helseopplysninger og andre personopplysninger i prosjektet skjer innenfor et tydelig definert formål, at behandlingen har et lovlig behandlingsgrunnlag, at det ikke behandles flere helseopplysninger og andre personopplysninger enn det som er nødvendig for å oppnå det definerte formålet (dataminimering), samt at informasjonssikkerheten ivaretas for opplysningene. I tillegg stilles det krav om at opplysningene ikke lagres i lengre perioder enn det som er nødvendig for det definerte formålet (lagringsbegrensning).

All behandling av helseopplysninger og andre personopplysninger må ha minst én dataansvarlig (kalt behandlingsansvarlig i personvernforordningen). Den dataansvarlige er definert som den som er «ansvarlig for behandling av helseopplysninger», jf. personvernforordningen (lovdata.no) artikkel 4 nr. 7. I forordningen er dette definert som ethvert organ som alene eller sammen med andre bestemmer formålet med behandlingen av personopplysninger og hvilke midler som skal benyttes.

Forskningsansvarlige som dataansvarlig har ansvaret for at kravene som følger av personvernforordningen overholdes gjennom helseforskningsprosjektet.

Krav om lovlig behandlingsgrunnlag

Et viktig prinsipp er at behandlingen av personopplysninger må ha et lovlig behandlingsgrunnlag.

De lovlige behandlingsgrunnlagene for behandling av personopplysninger er uttømmende regulert i forordningen, og fremgår av artikkel 6 (lovdata.no) nr. 1. Disse er enten samtykke, jf. bokstav a, eller dersom behandlingen er nødvendig for:

• å oppfylle en avtale som den registrerte er part i, jf. bokstav b
• å oppfylle en rettslig forpliktelse som påhviler dataansvarlig, jf. bokstav c
• å verne den registrerte eller annen fysisk persons vitale interesser, jf. bokstav d
• å utføre en oppgave i allmennhetens interesse eller utøve offentlig myndighet dataansvarlig er pålagt, jf. bokstav e
• formål knyttet til de berettigede interessene som dataansvarlig har, med mindre den registrertes interesser eller grunnleggende rettigheter og friheter går foran og krever vern av personopplysninger, særlig dersom den registrerte er et barn, jf. bokstav f. 

Forordningen gir direkte hjemmel til å behandle personopplysninger for en del tilfeller, blant annet dersom de registrerte har samtykket.

Samtykke som et behandlingsgrunnlag etter personvernregelverket er ikke det samme som et samtykke til deltakelse i medisinsk og helsefaglig forskning i samsvar med helseforskningsloven § 13. Se omtale i kapitlet om samtykke til deltakelse i forskning er ikke det samme som samtykke etter personvernforordningen.

I forskningsprosjekter hvor bruk av samtykke som behandlingsgrunnlag ikke er egnet, kan behandlingen anses å være nødvendig for å utføre en oppgave i allmennhetens interesse, se artikkel 6 nr. 1 bokstav e.

For behandling etter bokstav e stilles det krav om at det må foreligge et supplerende rettsgrunnlag i nasjonal rett for behandling av helseopplysninger og andre personopplysninger. For behandling av helseopplysninger fra pasientjournaler eller helseregistre kan for eksempel et vedtak om dispensasjon fra taushetsplikten etter helsepersonelloven (lovdata.no) § 29 e eller helseregisterloven (lovdata.no) § 19 e gi et slikt supplerende behandlingsgrunnlag.

For helseopplysninger stilles det ytterligere strengere krav til lovligheten av behandlingen. Det følger av artikkel 9 (lovdata.no) nr. 2 at behandlingen kun er lovlig dersom vilkårene i denne bestemmelsen er oppfylt, for eksempel at den registrerte har samtykket jf. artikkel 9 nr. 2 bokstav a. Behandling av helseopplysninger er også lovlig dersom den er nødvendig for formål knyttet til vitenskapelig forskning, jf. artikkel 9 nr. 2 bokstav j.

Samtykke som lovlig behandlingsgrunnlag

Samtykke fra den opplysningene gjelder («den registrerte») er et av de lovlige behandlingsgrunnlagene i personvernforordningen, se artikkel 6 nr. 1 bokstav a og artikkel 9 nr. 2 bokstav a.

Personvernforordningen definerer samtykke som en «frivillig, spesifikk, informert og utvetydig viljesytring fra den registrerte der vedkommende ved en erklæring eller en tydelig bekreftelse gir sitt samtykke til behandling av personopplysninger som gjelder vedkommende», jf. artikkel 4 nr. 11.

Definisjonen i artikkel 4 nr. 11 suppleres av artikkel 7 (lovdata.no) som stiller ytterligere krav til samtykke. For at et samtykke skal være gyldig, må det være frivillig, spesifikt, informert, utvetydig, gitt gjennom en aktiv handling, dokumenterbart og mulig å trekke tilbake like lett som det ble gitt. Samtykket skal gis før behandlingen av personopplysninger startes. Det stilles blant annet krav om at dersom samtykke gis i forbindelse med en skriftlig erklæring som også gjelder andre forhold, skal en forespørsel om samtykke legges frem slik at den tydelig kan skilles fra disse andre forholdene, jf. artikkel 7 nr. 2.

For behandling helseopplysninger, som er omfattet av de særlige kategorier av personopplysninger etter artikkel 9, kreves det «uttrykkelig samtykke». Dette betyr et samtykke som er gitt på en ekstra tydelig måte.

Samlet sett skal kravene sikre at samtykket gir uttrykk for den enkeltes egen vilje hva gjelder behandling av deres helseopplysninger og andre personopplysninger.

Når det gjelder samtykke til behandling for forskningsformål, følger det av fortalepunkt 33 at den registrerte kan gi et bredt samtykke, det vil si å gi sitt samtykke til visse områder innen vitenskapelig forskning når dette er i samsvar med anerkjente etiske standarder for vitenskapelig forskning. Så langt formålet tillater det, bør imidlertid den registrerte ha mulighet til å gi sitt samtykke bare til visse forskningsområder eller deler av forskningsprosjekter.

Skillet mellom helse- og personopplysninger og anonyme opplysninger

Helseforskningsloven eller personvernforordningen vil ikke gjelde for forskning på anonyme opplysninger. Anonyme opplysninger er ikke personopplysninger og er heller ikke helseopplysninger. Dersom opplysningene er blitt reelt anonyme gjennom en anonymiseringsprosess, kan de dermed behandles og tilgjengeliggjøres fritt. 

Anonyme opplysninger kjennetegnes ved at enkeltpersoner ikke kan identifiseres, jf. punkt 26 i fortalen til personvernforordningen. 

Her står det at «[n]år det skal fastslås om en fysisk person er identifiserbar, bør det tas hensyn til alle midler som det med rimelighet kan tenkes at den behandlingsansvarlige eller en annen person kan ta i bruk for å identifisere vedkommende direkte eller indirekte, f.eks. utpeking. For å fastslå om midler med rimelighet kan tenkes å bli tatt [i] bruk for å identifisere den fysiske personen bør det tas hensyn til alle objektive faktorer, f.eks. vurderingen av hvorvidt opplysninger er kostnadene for og tiden som er nødvendig for å foreta identifikasjonen, idet det tas hensyn til teknologien som er tilgjengelig på behandlingstidspunktet, samt den teknologiske utvikling. Prinsippene om vern av personopplysninger bør derfor ikke få anvendelse på anonyme opplysninger, nærmere bestemt opplysninger som ikke kan knyttes til en identifisert eller identifiserbar fysisk person, eller personopplysninger som er blitt anonymisert på en slik måte at den registrerte ikke lenger kan identifiseres. Denne forordning gjelder derfor ikke behandling av slike anonyme opplysninger, herunder for statistiske formål eller forskningsformål».

Personopplysninger er anonymiserte når de håndteres eller bearbeides slik at de ikke lenger kan knyttes til en identifisert eller identifiserbar fysisk person. Det avgjørende er om personene som opplysningene handler om er identifiserbare. I vurderingen må man se hen til om det er en reell sannsynlighet for identifikasjon, og ikke om identifikasjon kun er hypotetisk mulig og om det er det er mulig å spore opplysningene tilbake til de enkeltpersonene opplysningene knytter seg til.

Tilgangen til andre kilder og metoder for identifisering kan gjøre at opplysninger som alene ikke kan knyttes til en enkeltperson, likevel kan utgjøre personopplysninger. Dette vil i praksis innebære at datasettet som skal anonymiseres må bearbeides for å unngå muligheter for reidentifisering eller bakveisidentifisering.

Pseudonymisering er ikke det samme som anonymisering. Personvernforordningen artikkel 4 nr. 5 definerer pseudonymisering som «behandling av personopplysninger på en slik måte at personopplysningene ikke lenger kan knyttes til en bestemt registrert uten bruk av tilleggsopplysninger, forutsatt at nevnte tilleggsopplysninger lagres atskilt og omfattes av tekniske og organisatoriske tiltak som sikrer at personopplysningene ikke kan knyttes til en identifisert eller identifiserbar fysisk person». Se omtale om både anonymisering og pseudonymisering under.

I EU-domstolens sak C-582-14 Breyer – EUR-Lex - 62014CJ0582 - EN - EUR-Lex (eur-lex.europa.eu) ble det slått fast at i spørsmålet om når en opplysning gjelder en «identifiserbar» person, og dermed er personopplysninger, må vurderes konkret og relativt til den aktuelle aktøren. Domstolen la til grunn at opplysningene kan være personopplysninger dersom den aktuelle virksomheten har rettslige eller praktiske muligheter til å få tilgang til tilleggsopplysninger som gjør det mulig å identifisere enkeltpersoner.

Rekkevidden av begrepet «personopplysninger» har deretter vært oppe i EU-domstolen i sak C-413-23 P EDPS vs. SRB – EUR-Lex - 62023CJ0413 - EN - EUR-Lex (eur-lex.europa.eu). EU-domstolen viderefører sin tolkning fra Breyer-dommen, og presiserer at vurderingen av hvorvidt pseudonymiserte opplysninger er personopplysninger må gjøres basert på den konkrete mottakerens mulighet til å identifisere den registrerte. Dommen i C-413-23 P – EDPS vs. SRB bekrefter at pseudonymiserte opplysninger ikke nødvendigvis må behandles identisk i alle ledd av en behandlingskjede. For enkelte mottakere kan pseudonymiseringen være så effektiv at personene ikke fremstår identifiserbare for dem. Samtidig understreker domstolen at pseudonymisering ikke automatisk gjør opplysningene anonyme.

Risikoen for integritetskrenkelse reduseres dersom helseopplysninger blir anonymisert fordi deltakerne ikke lenger vil kunne gjenkjennes i datasettet, og deltakerne vil ikke lenger ha behov for det samme sterke vernet som personvernforordningen og helseforskningsloven gir ved forskning på person- og helseopplysninger.

Reell anonymisering kan være vanskelig å oppnå for enkelte datasett, eksempelvis ved medisinsk og helsefaglig forskning innenfor svært snevre felt hvor det er begrenset hvem opplysningene kan stamme fra, eller det er snakk om svært omfattende datasett med mange variabler. Det beror på en helhetlig og risikobasert vurdering som påhviler dataansvarlig, der dataansvarlig må gjennomgå og vurdere hvorvidt opplysningene i det enkelte datasettet er å anse som reelt anonyme som resultat av anonymiseringsprosessen.

Å gjøre helseopplysninger og andre personopplysninger anonyme er behandling av personopplysninger, som reguleres av personvernforordningen og taushetspliktsbestemmelsene. Selve anonymiseringsprosessen krever et lovlig behandlingsgrunnlag, og et unntak fra taushetsplikten.

Anonymisering av helse- og personopplysninger

Anonymisering innebærer å gjøre personopplysninger anonyme. Personopplysninger regnes som anonymiserte når de håndteres eller bearbeides slik at de ikke lenger kan knyttes til en identifisert eller identifiserbar fysisk person. Selve anonymiseringsprosessen er å regne som behandling av personopplysninger.

Det kreves derfor et lovlig behandlingsgrunnlag for anonymiseringen av helseopplysningene i et medisinsk og helsefaglig forskningsprosjekt.

Av personvernforordningen artikkel 5 (lovdata.no) nr. 1 bokstav b fremgår det at viderebehandling for formål knyttet til vitenskapelig forskning må kunne anses å være forenlig med det opprinnelige formålet, og skje i samsvar med personvernforordningens artikkel 89 nr. 1, herunder omfattes av nødvendige garantier for å sikre den registrertes rettigheter og friheter. Dette er et unntak fra formålsbegrensingsprinsippet i artikkel 5.

Der viderebehandlingen av opplysningene skal skje til nye forskningsformål hos samme dataansvarlig, vil det i utgangspunktet ikke være nødvendig å hjemle viderebehandlingen i et nytt selvstendig behandlingsgrunnlag. Det opprinnelige formålet i forskningsprosjektet vil dermed ikke være i strid med det nye formålet dersom det nye formålet også er forskning, og omfattet av det opprinnelige behandlingsgrunnlaget, jf. fortalen punkt 50. Dette forutsetter at behandlingen skjer i samsvar med artikkel 89 nr. 1. Personvernforordningen artikkel 89 nr. 1 legger opp til at dersom formålet ved viderebehandling kan oppfylles på en måte som ikke lenger gjør det mulig å identifisere de registrerte, for eksempel ved anonymisering, så skal formålene oppfylles på denne måten. Dette vil være et tiltak for å overholde dataminimeringsprinsippet.

Anonymisering kan etter en nærmere vurdering anses som en forenlig viderebehandling for å oppfylle kravet til dataminimering.

Dataansvarlig må vurdere når anonymisering av opplysningene kan skje i forskningsprosjektet, eksempelvis om man etter innsamlingen kan forske videre på opplysningene anonymt, eller om anonymisering først kan skje når forskningsprosjektet er gjennomført. I denne vurderingen må dataansvarlig ta utgangspunkt i formålet med behandlingen av opplysningene i det konkrete forskningsprosjektet. 

Når opplysningene er anonymisert, vil behandlingen av de anonyme opplysninger falle utenfor virkeområdet til både helseforskningsloven og personvernforordningens virkeområde.

Om innsamlingen av helseopplysningene er hjemlet i samtykke fra forskningsdeltakeren eller basert på et vedtak om dispensasjon fra taushetsplikten til forskningsformål etter helseregisterloven § 19 e eller helsepersonelloven § 29 e, har ikke betydning for adgangen til å anonymisere opplysningene. Behandlingen av opplysningene for å anonymisere vil ligge innenfor rammene av samtykket eller unntaket fra taushetsplikten gitt i dispensasjonsvedtaket, for å ivareta dataminimeringsprinsippet og prinsippet om lagringsbegrensning. Det kan også være oppstilt vilkår om sletting eller anonymisering i dispensasjonsvedtaket, som forsknings prosjektet må overholde. Taushetsplikten i slike tilfeller er ikke er til hinder for at dataansvarlig anonymiserer opplysningene.

Dataansvarlig vil dermed kunne gjenbruke de anonyme opplysningene til nye forskningsformål, samt også tilgjengeliggjøre disse til andre virksomheter, uten hinder av taushetsplikt, og uten krav om lovlig behandlingsgrunnlag for tilgjengeliggjøringen. Andre virksomheter som mottaker av disse opplysningene vil heller ikke måtte godtgjøre et selvstendig behandlingsgrunnlag, eller angi et uttrykkelig og spesifisert formål med behandlingen. I forlengelsen av dette vil mottakers behandling også være utenfor virkeområde til helseforskningsloven, herunder krav om forhåndsgodkjenning fra REK mv., ettersom denne forskningen ikke skjer på helseopplysninger.

Dersom det ikke er mulig å bearbeide opplysningene slik at de er å anse som reelt anonyme, eller det nye forskningsformålet ikke kan oppfylles ved bruk av anonyme opplysninger, vil det kunne være grunnlag for å viderebehandle opplysningene ved pseudonymisering. Både direkte identifiserbare helse- og personopplysninger og indirekte helse- og personopplysninger, eksempelvis ved pseudonymisering, er like fullt å anses som personopplysninger omfattet av personvernforordningen. Se omtale i kaptilet om gjenbruk av tidligere innsamlede helseopplysninger. 

Av helseforskningsloven § 2 annet ledd fremkommer at helseforskningsloven ikke gjelder for etablering av helseregistre. Helseregisterloven gjelder ikke for behandling av helseopplysninger som reguleres av helseforskningsloven, jf. helseregisterloven § 3 fjerde ledd.

Helseregistre er definert som «enhver strukturert samling av personopplysninger som er tilgjengelig etter særlige kriterier, og som inneholder helseopplysninger, jf. personvernforordningen artikkel 4 nr. 6», jf. helseregisterloven § 2 første ledd bokstav c.

I praksis vil imidlertid mange medisinske og helsefaglige forskningsprosjekter innebære at helseopplysninger samles inn og lagres systematisk, noe som i utgangspunktet er å anse som etablering av registre. Det må derfor skilles mellom helseregistre som skal opprettes i samsvar med helseregisterlovens krav, og etablering av registre i konkrete forskningsprosjekter innen medisinsk og helsefaglig forskning. Registre som har opplysninger som er samlet inn og inngår som en del av et konkret forskningsprosjekt, vil derfor ikke omfattes av helseregisterloven. Dersom et helseregister opprettes som ledd i et konkret medisinsk og helsefaglig forskningsprosjekt, er det helseforskningsloven og personvernforordningen som gjelder.

Helseregisterloven regulerer behandling av helseopplysninger i helseregistre, blant annet til bruk til forskning for å fremme helse, forebygge sykdom og skade og gi bedre helse- og omsorgstjenester. Tilgjengeliggjøringsbestemmelsene i helseregisterloven kan være relevante for forskningsprosjektene, se omtale i kapitlet om tilgang til helseopplysninger til bruk i medisinsk og helsefaglig forskning.

Ved etablering av et helseregister for andre formål enn et konkret forskningsprosjekt, vil helseregisterloven kunne gjelde, for formål innen generelle forskningsformål, statistikk, helseanalyser kvalitetsforbedring, styring og planlegging og forskning.

De store samtykkebaserte helseundersøkelsene, etablert med hjemmel i forskrift om befolkningsbaserte helseundersøkelser, er for eksempel å anse som helseregistre, og hjemlet i helseregisterloven.

I mange medisinske og helsefaglige forskningsprosjekter er det nødvendig å få tilgang til helseopplysninger fra andre kilder enn det som samles inn direkte fra forskningsdeltakerne i prosjektet. Det kan blant annet være aktuelt å supplere med opplysninger fra enten pasientjournaler og/eller helseregistre omfattet av helseregisterloven.

Det kan også være aktuelt at det medisinske og helsefaglige forskningsprosjektet kun skal basere forskningen på helseopplysninger fra helseregistre, såkalt helseregisterforskning. Se omtale i kapitlet om unntak fra kravet om forhåndsgodkjenning for helseregisterforskning.

Helseopplysninger fra pasientjournaler og helseregistre er omfattet av taushetsplikt. Bestemmelsene om taushetsplikt i pasientjournalloven § 15 og helseregisterloven § 17 viser til helsepersonelloven § 21 flg. Helsepersonell har taushetsplikt om opplysninger de får om folks legems- eller sykdomsforhold eller andre personlige forhold som de får vite om i egenskap av å være helsepersonell, jf. helsepersonelloven § 21 flg. Andre som får adgang eller kjennskap til helseopplysninger fra disse helseregistrene, har samme taushetsplikt. Tilgang til helseopplysninger fra disse registrene må skje i samsvar med taushetspliktsbestemmelsene.

Helsevirksomhetene eller registerforvalter (dataansvarlige) sin tilgjengeliggjøring av helseopplysninger fra pasientjournaler og helseregistre er en behandling etter personvernforordningen, og krever et lovlig behandlingsgrunnlag. Forskningsansvarlig som mottar helseopplysningene til bruk i det konkrete helseforskningsprosjektet, må også ha et lovlig behandlingsgrunnlag for opplysningene.

Det kreves videre at prosjektet følger kravene i helseforskningsloven.

I utvikling og bruk av kunstig intelligens i helse- og omsorgstjenesten er det ofte behov for tilgang til store mengder helseopplysninger, særlig til bruk i trening av kunstig intelligens-systemer. Se omtale av regelverket som er særlig relevant ved forskning og utvikling av kunstig intelligens på Helsedirektoratets temaside om KI. Se også omtale av kunstig intelligens i kapitlet Flere ressurser.

Fra pasientjournaler

Bruk av helseopplysninger fra pasientjournaler til forskningsformål krever at helsepersonellet må ha et unntak fra taushetsplikten for å dele opplysningene fra journalen til forskningsprosjektet. Det må også foreligge et lovlig behandlingsgrunnlag for behandlingen av de mottatte opplysningene etter personvernforordningen. Dette kan ivaretas ved å innhente samtykke fra den opplysningene gjelder, jf. helseforskningsloven § 13, jf. § 7.  

Forskningsdeltakerens samtykke etter personvernforordningen artikkel 6 og 9 vil kunne gi et lovlig behandlingsgrunnlag for forskningsprosjektets bruk av opplysningene.

Når disse vilkårene er oppfylt, vil helsevirksomheten som dataansvarlig kunne tilgjengeliggjøre opplysningene fra pasientjournaler til forskningsprosjektet, jf. pasientjournalloven § 20.

Dispensasjon fra taushetsplikt

Dersom opplysninger i pasientjournaler skal brukes til forskning og det vurderes at å innhente samtykke ikke er mulig eller svært vanskelig, kreves det en dispensasjon etter helsepersonelloven § 29 e eller et lovfestet unntak fra taushetsplikten for at helsevirksomheten kan tilgjengeliggjøre opplysningene til forskningsprosjektet.

Søknader om dispensasjon fra taushetsplikten etter helsepersonelloven § 29 e til bruk for forskningsformål rettes til REK.

Et dispensasjonsvedtak etter helsepersonelloven § 29 e vil gi både helsevirksomheten og helsepersonellet et unntak fra taushetsplikten. Vedtaket vil også gi et supplerende lovlig behandlingsgrunnlag for forskningsprosjektets behandling av helseopplysningene, jf. artikkel 6 nr. 1 bokstav e, jf. artikkel 6 nr. 3, jf. artikkel 9 nr. 2 bokstav j.

Når disse vilkårene er oppfylt, vil helsevirksomheten som dataansvarlig kunne tilgjengeliggjøre opplysningene fra pasientjournaler til forskningsprosjektet, jf. pasientjournalloven § 20.

Se rundskriv til helsepersonelloven § 29 e for en nærmere omtale av vilkårene som må være oppfylt i bestemmelsen.

Se også mer informasjon om regelverket knyttet til dispensasjon fra taushetsplikt og hvor ulike søknader om dispensasjon skal sendes.

Fra helseregistre omfattet av helseregisterloven

Helseregisterloven §§ 19 flg (lovdata.no) regulerer vilkårene tilgjengeliggjøring av opplysninger fra helseregistre til bruk i forskning. Registerforvalter (dataansvarlig) skal vurdere om vilkårene for tilgjengeliggjøring er oppfylt.

Helseregisterloven § 19 a stiller en rekke vilkår som må være oppfylt for at helseopplysninger fra de omfattede registrene skal kunne tilgjengeliggjøres.

Blant annet må bruk av helseopplysninger fra helseregistrene til medisinsk og helsefaglig forskning, ligge innenfor rammene av formålene og virkeområde til helseregisterloven. Formålene og virkeområdet til helseregisterloven er behandling av helseopplysninger i registrene for å fremme helse, forebygge sykdom og skade og gi bedre helse- og omsorgstjenester til statistikk, helseanalyser, forskning, kvalitetsforbedring, planlegging, styring og beredskap i helse- og omsorgsforvaltningen og helse- og omsorgstjenesten.

Bruken av opplysningene må også ligge innenfor rammen av formålet til det enkelte registeret, samt eventuelle samtykker fra den enkelte. Helseopplysninger fra helseregistre skal også kunne brukes til forskning, statistikk eller bruk og utvikling av beslutningsstøtteverktøy, uavhengig av det enkelte registerets formål.

Helseopplysninger i registrene er taushetsbelagt, jf. helseregisterloven § 17 (lovdata.no). Tilgjengeliggjøringen må skje i samsvar med taushetsplikten. Som hovedregel vil et samtykke fra den registrerte kunne frita opplysningene fra taushetsplikten. I tillegg er det bestemmelser som gir unntak og dispensasjon fra taushetsplikten. Ett eksempel er helseregisterloven § 19 b. Denne bestemmelsen gir et lovbestemt unntak fra taushetsplikten for tilgjengeliggjøring av indirekte identifiserbare personopplysninger i de lovbestemte helseregistrene dersom vilkårene er oppfylt (dvs. etablert etter § 11). Ett annet eksempel er dispensasjon fra taushetsplikten i helseregisterloven § 19 e.

Opplysninger kan bare tilgjengeliggjøres dersom det er ubetenkelig ut fra etiske, medisinske og helsefaglig hensyn. Ordlyden er "ubetenkelig", noe som indikerer at dette er ment å være en sikkerhetsventil som gir mulighet til å nekte tilgjengeliggjøring der det vil være betenkelig ut ifra etiske, medisinske og helsefaglige hensyn. Dette vil være en skjønnsmessig vurdering. Dette vilkåret kan for eksempel brukes for å unngå at opplysninger leveres ut til mottakere som ikke har løsninger for å ivareta informasjonssikkerheten. Dette betyr likevel ikke at det skal gjøres en full vurdering av de organisatoriske og tekniske tiltakene hos mottakeren. Det vises til at vilkåret kun er en sikkerhetsventil, at vedtak om tilgjengeliggjøring ikke er en forhåndsgodkjenning av mottakerens behandling og at informasjonssikkerheten er mottakerens selvstendige ansvar.  Dette er dermed noe annet enn REKs mandat til å gjøre en forskningsetisk vurdering som ledd i forhåndsgodkjenningen i § 10.  

Det kan også stilles vilkår for tilgjengeliggjøring at mottakeren setter i verk særlige tiltak for å verne den registrertes grunnleggende rettigheter og interesser. Slike tiltak kan for eksempel være knyttet til informasjon til forskningsdeltakerne eller til lagringsbegrensning.

I tillegg må forskningsprosjektet som skal motta helseopplysningene ha et lovlig behandlingsgrunnlag og et unntak fra taushetsplikten. Et samtykke fra den enkelte som oppfyller kravene i personvernforordningen vil kunne oppfylle disse kravene. Helseregisterloven § 19 b vil også kunne være relevant, dersom forskningsprosjektet skal bruke indirekte identifiserbare personopplysninger fra de lovbestemte helseregistrene, dersom vilkårene er oppfylt. Et vedtak i samsvar med § 19 b vil også oppfylle vilkårene om lovlig behandlingsgrunnlag og et unntak fra taushetsplikten for forskningsprosjektet.

Dersom det er svært vanskelig eller umulig å innhente samtykke, er det adgang til å søke dispensasjon fra taushetsplikten etter helseregisterloven § 19 e (lovdata.no). Et vedtak om dispensasjon fra taushetsplikten etter helseregisterloven § 19 e vil gi et supplerende lovlig behandlingsgrunnlag for forskningsprosjektets behandling av opplysningene fra helseregisteret, samt gi nødvendig unntak fra taushetsplikten.

Mer informasjon om hvor ulike søknader om dispensasjon fra taushetsplikten skal sendes.

I medisinsk og helsefaglige forskningsprosjekter vil det i mange tilfeller være ønskelig å bruke helse- og personopplysningene som er samlet inn i det konkrete forskningsprosjektet til nye forskningsformål, enten i egen virksomhet eller for å dele med andre virksomheter som skal gjennomføre et eget forskningsprosjekt.

Ved gjenbruk av helseopplysninger til nye forskningsformål, er det flere krav som må være oppfylt. Forskningsprosjektet må ha et lovlig behandlingsgrunnlag etter personvernforordningen. Forskningsprosjektet må også ha et unntak fra taushetsplikten, og ivareta kravene i helseforskningsloven for forskning på helseopplysninger, som krav om samtykke etter § 13, og § 9 om forhåndsgodkjenning.

I kliniske behandlingsstudier hvor opplysningene behandles i studien som et forskningsprosjekt, skal også opplysninger som er relevante og nødvendige for helsehjelpen dokumenteres i pasientjournalen. Opplysningene i pasientjournalen er omfattet av reglene som gjelder for helseopplysninger i pasientjournal, som helsepersonelloven og pasientjournalloven.

Helse- og personopplysninger til nytt forskningsformål må følge kravene i helseforskningsloven mv.

Viderebehandling av helseopplysninger til nye forskningsformål må skje i samsvar med taushetspliktsreglene og helseforskningsloven, i tillegg til personvernforordningen.

Behandlingen av opplysningene for det nye formålet må ligge innenfor samtykket som er gitt etter helseforskningsloven § 13 eller § 14. Dersom det opprinnelige samtykket ikke dekker det nye forskningsformålet, vil det være behov for å innhente nytt samtykke fra forskningsdeltakerne (de registrerte). Det er også en adgang til at REK kan fatte vedtak om et unntak fra nytt samtykke etter §§ 13 og 14 i samsvar med helseforskningsloven § 15 annet ledd dersom vilkårene i bestemmelsen er oppfylt. Se omtale av § 15 annet ledd i kapitlet om unntak fra kravet til samtykke ved ny eller endret bruk av innsamlet humant biologisk materiale eller helseopplysninger.

Der et dispensasjonsvedtak etter helseregisterloven § 19 e eller helsepersonelloven § 29 e er grunnlaget for innsamlingen av opplysningene til det opprinnelige forskningsformålet, vil det være nødvendig for forskningsansvarlig å søke om endring av det vedtaket som foreligger.

For bruk av opplysningene til nye forskningsformål innen det samme forskningsprosjektet, kan dette medføre vesentlige endringer i forskningsprosjektet. Dette krever en endringssøknad til REK, jf. helseforskningsloven § 11. Se omtale av endringssøknader i kapitlet Søknad om å foreta vesentlig endringer av forskningsprosjektet.

For bruk av opplysningene til nye forskningsformål i nye medisinske og helsefaglige forskningsprosjekter innenfor rammene av et eksplisitt eller bredt samtykke etter §§ 13 og 14, som gir andre virksomheter adgang til å bruke opplysningene som er omfattet av det brede samtykke, gjelder helseforskningsloven for det nye forskningsprosjektet. Det kreves blant annet en søknad om forhåndsgodkjenning fra REK etter helseforskningsloven § 9.

Ved tilgjengeliggjøring av opplysningene fra en dataansvarlig til en annen kreves det også at mottaker har et eget behandlingsgrunnlag, eksempelvis et bredt samtykke etter artikkel 6 og 9, jf. fortalen punkt 33. Se omtale av krav om lovlig behandlingsgrunnlag i kapitlet om forholdet til personvernregelverket.

Helse- og personopplysninger til nytt forskningsformål må behandles i samsvar med personvernforordningen

Dersom én forskningsansvarlig skal tilgjengeliggjøre helseopplysningene til en annen forskningsansvarlig, må både avsender og mottaker ha et lovlig behandlingsgrunnlag for sin behandling.

Dette gjelder selv om forskningsformålet er å anse som et forenlig formål med det opprinnelige formålet opplysningene ble behandlet for. Unntaket i artikkel 5 nr. 1 bokstav b er ikke et unntak fra kravet om lovlig behandlingsgrunnlag i tilgjengeliggjøring mellom to selvstendige dataansvarlige.

Der samtykke fra den enkelte deltakeren etter personvernforordningen artikkel 6 og 9 ikke dekker behandlingen av helseopplysningene til det nye forskningsformålet, vil personvernforordningen artikkel 6 nr. 1 bokstav e, jf. artikkel 9 nr. 2 bokstav j, jf. personopplysningsloven § 9 kunne være et relevant lovlig behandlingsgrunnlag for behandlingen av helseopplysningene hos mottaker.

En begrensning for slik tilgjengeliggjøring vil imidlertid være taushetsplikten som gjelder for helseopplysningene. For tilgjengeliggjøring av helseopplysninger innsamlet hos én forskningsansvarlig til en annen forskningsansvarlig til bruk for et nytt forskningsformål, må det i utgangspunktet foreligge et samtykke fra forskningsdeltakeren som dekker det nye forskningsformålet. Se omtale over om at helse- og personopplysninger til nytt forskningsformål må følge kravene i helseforskningsloven mv.

Bruk av opplysninger innsamlet til kvalitetsforbedring til et nytt formål; forskning

Det må skilles mellom gjenbruk av tidligere innsamlede helseopplysninger fra andre forskningsprosjekter, og for helseopplysninger som er tidligere innsamlet for et annet formål, eksempelvis kvalitetsforbedring.

Helseopplysninger innsamlet til et kvalitetsforbedringsprosjekt kan ikke uten videre brukes i et forskningsprosjekt. Forskning er et annet formål enn kvalitetsforbedring. Dersom formålet ikke er forenlig med innsamlingsformålet, må viderebehandlingen ha eget grunnlag i lov eller samtykke.

Taushetsplikten som gjelder for opplysningene, vil være en begrensning. For bruk av opplysninger fra behandlingsrettede helseregistre til forskningsformål, vil pasientens samtykke kunne utgjøre et unntak fra taushetsplikten eller det kan også søkes om dispensasjon fra taushetsplikten etter helsepersonelloven § 29 e. For bruk av opplysninger fra et register opprettet for intern kvalitetsforbedring etter helsepersonelloven § 29 a, må det også innhentes samtykke fra pasientene for å bruke opplysningene til forskningsformål. Som et alternativ, dersom samtykke ikke er mulig, kan det søkes om dispensasjon etter helsepersonelloven § 29 e for bruk av opplysningene herfra til forskningsformål.

I tillegg gjelder kravene i helseforskningsloven for det nye prosjektet.

For deling av helseopplysninger til andre land er det personvernforordningen som gjelder, og reglene gjelder likt for behandling av helseopplysninger i EU/EØS. Det legges til grunn at helseopplysningene er like godt beskyttet i alle land i EU/EØS. I tillegg gjelder reglene om taushetsplikt for helseopplysninger, noe som innebærer at du må ha samtykke fra forskningsdeltakerne eller dispensasjon fra taushetsplikten for å dele helseopplysninger.

Overføring av opplysninger til land utenfor EU/EØS er regulert av personvernforordningen kapittel V. Se mer informasjon om overføring av personopplysninger ut av EØS (datatilsynet.no).

Etter personvernforordningen skal opplysninger aldri lagres lenger enn det som er nødvendig for formålet med behandlingen, jf. personvernforordningen artikkel 5 nr. 1 bokstav e. Bestemmelsen setter en ytre ramme for hvor lenge helseopplysninger i et medisinsk og helsefaglig forskningsprosjekt kan oppbevares. Opplysningene kan imidlertid lagres i lengre perioder dersom de utelukkende brukes til forskning eller statistikk. Dette må skje i samsvar med artikkel 89 nr. 1, forutsatt at det gjennomføres egnede tekniske og organisatoriske tiltak som kreves i henhold til denne forordning for å sikre de registrertes rettigheter og friheter. Se omtale i kapitlet om gjenbruk av helseopplysninger til nye forskningsformål.

Når det ikke lenger er lagringsplikt etter helseforskningsloven, arkivlova eller andre regler, og det ikke er hjemmel til å bruke opplysningene til nye formål, skal opplysningene anonymiseres eller slettes. Les mer om anonymisering av helse- og personvernopplysninger i kapitlet om forholdet til personvernregelverket.

Virksomhetene må organisere gode systemer for å følge opp at forskningsdata i hvert enkelt forskningsprosjekt blir slettet til rett tid. Det skal føres protokoll over behandlingen i av personopplysninger i forskningsprosjektet med plan for lagring og frister for sletting eller anonymisering, jf. personvernforordningen artikkel 30 nr. 1 (lovdata.no). Plan for lagring og sletting bør tas inn i forskningsprotokollen.

Det vil være enkelte medisinske og helsefaglige forskningsprosjekter hvor det er stilt vilkår om sletting innen en fastsatt frist i vedtak om dispensasjon fra taushetsplikten fra REK, Helsedirektoratet eller Helsedataservice. Særskilte vilkår om sletting av helseopplysninger som er omfattet av vedtaket må følges.

Opplysninger kan også være journalført i den enkeltes pasientjournal som relevante og nødvendige opplysninger for helsehjelp som er ytt, for eksempel i en klinisk behandlingsstudie. Opplysningene i pasientjournalen skal oppbevares og behandles i samsvar med pasientjournalloven. Pasientjournalloven og helsepersonelloven har egne bestemmelser om oppbevaring, lagringstid, sletting og retting som gjelder for opplysningene i pasientjournalen. Se pasientjournalloven § 25 (lovdata.no), samt helsepersonelloven §§42 (lovdata.no) og 43 (lovdata.no). Les også om dokumentasjonsplikt i rundskriv til helsepersonelloven.

Forskningsansvarlig som dataansvarlig har videre plikt til å rette, oppdatere og supplere opplysninger av eget tiltak i samsvar med personvernforordningen artikkel 5 nr. 1 bokstav d.

Forskningsdeltakerens krav om retting og sletting av helseopplysninger reguleres av personvernforordningen artikkel 16 (lovdata.no) og 17 (lovdata.no). Av artikkel 16 følger det at forskningsdeltakeren skal ha rett til å få uriktige helse – og personopplysninger om seg selv rettet uten ugrunnet opphold.

På visse vilkår skal vedkommende også ha rett til å få slettet opplysninger om seg selv, etter artikkel 17. Dette gjelder for eksempel i tilfeller der opplysningene lenger ikke er nødvendige for formålet som de ble samlet inn eller behandlet for eller forskningsdeltakeren trekker tilbake samtykket som ligger til grunn for behandlingen, i henhold til artikkel 6 nr. 1 bokstav a) eller artikkel 9 nr. 2 bokstav a), og det ikke finnes noe annet rettslig grunnlag for behandlingen. Dette gjelder likevel ikke for forskningsformål i samsvar med artikkel 89 nr. 1 i den grad dette sannsynligvis vil gjøre det umulig eller i alvorlig grad vil hindre at målene med nevnte behandling nås, jf. artikkel 17 nr. 3 bokstav d. Se også personopplysningsloven § 17 annet og tredje ledd.

Det følger også særlige bestemmelser om forskningsdeltakerens rett til å få opplysninger om seg slettet i forbindelse med tilbaketrekking av samtykke i helseforskningsloven § 16, se særlig tredje ledd. Se omtale i kapitlet om tilbaketrekking av samtykke.

Bestemmelsen i § 32 (lovdata.no) regulerer en begrensning for utlevering av helseopplysninger som er strengere enn personvernforordningens krav. Det følger av første ledd at helseopplysninger ikke kan utleveres i forsikringsøyemed, til arbeidsgiver, til påtalemyndighet eller til domstol, selv om den som opplysningene gjelder samtykker til dette. Det er en likelydende regulering om humant biologisk materiale i helseforskningsloven § 27 annet ledd. Annet ledd gir hjemmel til å fastsette forskrifter om at utlevering helt unntaksvis kan skje til påtalemyndighet eller domstol dersom svært tungtveiende private eller offentlige interesser gjør dette rettmessig. Det er ikke fastsatt slike forskrifter.

Det særlige kravet om forhåndsgodkjenning fra REK for medisinsk og helsefaglig forskning på helseopplysninger i 33 oppheves. Dette følger uansett av § 9. Unntaket fra et særlig krav om rådføring med personvernombudet eller personvernrådgiver som følger av personopplysningsloven §§ 10 og 11 oppheves også.