Helseopplysninger er en særlig kategori av personopplysninger. Personvernforordningen regulerer behandling av personopplysninger. Med personopplysninger menes enhver opplysning om en identifisert eller identifiserbar fysisk person («den registrerte»); en identifiserbar fysisk person er en person som direkte eller indirekte kan identifiseres […], jf. artikkel 4 nr. 1.
Med behandling menes i denne sammenhengen enhver form for behandling av personopplysninger, for eksempel innsamling, registrering, strukturering, lagring, bruk, utlevering, spredning eller alle andre former for tilgjengeliggjøring, jf. definisjonen i personvernforordningen artikkel 4 nr. 2.
Personvernforordningen og personopplysningsloven gjelder dermed ved behandling av helseopplysninger i forskning, jf. helseforskningsloven § 2.
For all behandling av personopplysninger, inkludert helseopplysninger, gjelder personvernforordningen artikkel 5. Her fremgår de grunnleggende prinsipper for behandling av personopplysninger. Disse gjelder også i helseforskningsprosjekter. Det stilles krav om at behandlingen av helseopplysninger og andre personopplysninger i prosjektet skjer innenfor et tydelig definert formål, at behandlingen har et lovlig behandlingsgrunnlag, at det ikke behandles flere helseopplysninger og andre personopplysninger enn det som er nødvendig for å oppnå det definerte formålet (dataminimering), samt at informasjonssikkerheten ivaretas for opplysningene. I tillegg stilles det krav om at opplysningene ikke lagres i lengre perioder enn det som er nødvendig for det definerte formålet (lagringsbegrensning).
All behandling av helseopplysninger og andre personopplysninger må ha minst én dataansvarlig (kalt behandlingsansvarlig i personvernforordningen). Den dataansvarlige er definert som den som er «ansvarlig for behandling av helseopplysninger», jf. personvernforordningen (lovdata.no) artikkel 4 nr. 7. I forordningen er dette definert som ethvert organ som alene eller sammen med andre bestemmer formålet med behandlingen av personopplysninger og hvilke midler som skal benyttes.
Forskningsansvarlige som dataansvarlig har ansvaret for at kravene som følger av personvernforordningen overholdes gjennom helseforskningsprosjektet.
Krav om lovlig behandlingsgrunnlag
Et viktig prinsipp er at behandlingen av personopplysninger må ha et lovlig behandlingsgrunnlag.
De lovlige behandlingsgrunnlagene for behandling av personopplysninger er uttømmende regulert i forordningen, og fremgår av artikkel 6 (lovdata.no) nr. 1. Disse er enten samtykke, jf. bokstav a, eller dersom behandlingen er nødvendig for:
- å oppfylle en avtale som den registrerte er part i, jf. bokstav b
- å oppfylle en rettslig forpliktelse som påhviler dataansvarlig, jf. bokstav c
- å verne den registrerte eller annen fysisk persons vitale interesser, jf. bokstav d
- å utføre en oppgave i allmennhetens interesse eller utøve offentlig myndighet dataansvarlig er pålagt, jf. bokstav e
- formål knyttet til de berettigede interessene som dataansvarlig har, med mindre den registrertes interesser eller grunnleggende rettigheter og friheter går foran og krever vern av personopplysninger, særlig dersom den registrerte er et barn, jf. bokstav f.
Forordningen gir direkte hjemmel til å behandle personopplysninger for en del tilfeller, blant annet dersom de registrerte har samtykket.
Samtykke som et behandlingsgrunnlag etter personvernregelverket er ikke det samme som et samtykke til deltakelse i medisinsk og helsefaglig forskning i samsvar med helseforskningsloven § 13. Se omtale i kapitlet om samtykke til deltakelse i forskning er ikke det samme som samtykke etter personvernforordningen.
I forskningsprosjekter hvor bruk av samtykke som behandlingsgrunnlag ikke er egnet, kan behandlingen anses å være nødvendig for å utføre en oppgave i allmennhetens interesse, se artikkel 6 nr. 1 bokstav e.
For behandling etter bokstav e stilles det krav om at det må foreligge et supplerende rettsgrunnlag i nasjonal rett for behandling av helseopplysninger og andre personopplysninger. For behandling av helseopplysninger fra pasientjournaler eller helseregistre kan for eksempel et vedtak om dispensasjon fra taushetsplikten etter helsepersonelloven (lovdata.no) § 29 e eller helseregisterloven (lovdata.no) § 19 e gi et slikt supplerende behandlingsgrunnlag.
For helseopplysninger stilles det ytterligere strengere krav til lovligheten av behandlingen. Det følger av artikkel 9 (lovdata.no) nr. 2 at behandlingen kun er lovlig dersom vilkårene i denne bestemmelsen er oppfylt, for eksempel at den registrerte har samtykket jf. artikkel 9 nr. 2 bokstav a. Behandling av helseopplysninger er også lovlig dersom den er nødvendig for formål knyttet til vitenskapelig forskning, jf. artikkel 9 nr. 2 bokstav j.
Samtykke som lovlig behandlingsgrunnlag
Samtykke fra den opplysningene gjelder («den registrerte») er et av de lovlige behandlingsgrunnlagene i personvernforordningen, se artikkel 6 nr. 1 bokstav a og artikkel 9 nr. 2 bokstav a.
Personvernforordningen definerer samtykke som en «frivillig, spesifikk, informert og utvetydig viljesytring fra den registrerte der vedkommende ved en erklæring eller en tydelig bekreftelse gir sitt samtykke til behandling av personopplysninger som gjelder vedkommende», jf. artikkel 4 nr. 11.
Definisjonen i artikkel 4 nr. 11 suppleres av artikkel 7 (lovdata.no) som stiller ytterligere krav til samtykke. For at et samtykke skal være gyldig, må det være frivillig, spesifikt, informert, utvetydig, gitt gjennom en aktiv handling, dokumenterbart og mulig å trekke tilbake like lett som det ble gitt. Samtykket skal gis før behandlingen av personopplysninger startes. Det stilles blant annet krav om at dersom samtykke gis i forbindelse med en skriftlig erklæring som også gjelder andre forhold, skal en forespørsel om samtykke legges frem slik at den tydelig kan skilles fra disse andre forholdene, jf. artikkel 7 nr. 2.
For behandling helseopplysninger, som er omfattet av de særlige kategorier av personopplysninger etter artikkel 9, kreves det «uttrykkelig samtykke». Dette betyr et samtykke som er gitt på en ekstra tydelig måte.
Samlet sett skal kravene sikre at samtykket gir uttrykk for den enkeltes egen vilje hva gjelder behandling av deres helseopplysninger og andre personopplysninger.
Når det gjelder samtykke til behandling for forskningsformål, følger det av fortalepunkt 33 at den registrerte kan gi et bredt samtykke, det vil si å gi sitt samtykke til visse områder innen vitenskapelig forskning når dette er i samsvar med anerkjente etiske standarder for vitenskapelig forskning. Så langt formålet tillater det, bør imidlertid den registrerte ha mulighet til å gi sitt samtykke bare til visse forskningsområder eller deler av forskningsprosjekter.
Skillet mellom helse- og personopplysninger og anonyme opplysninger
Helseforskningsloven eller personvernforordningen vil ikke gjelde for forskning på anonyme opplysninger. Anonyme opplysninger er ikke personopplysninger og er heller ikke helseopplysninger. Dersom opplysningene er blitt reelt anonyme gjennom en anonymiseringsprosess, kan de dermed behandles og tilgjengeliggjøres fritt.
Anonyme opplysninger kjennetegnes ved at enkeltpersoner ikke kan identifiseres, jf. punkt 26 i fortalen til personvernforordningen.
Her står det at «[n]år det skal fastslås om en fysisk person er identifiserbar, bør det tas hensyn til alle midler som det med rimelighet kan tenkes at den behandlingsansvarlige eller en annen person kan ta i bruk for å identifisere vedkommende direkte eller indirekte, f.eks. utpeking. For å fastslå om midler med rimelighet kan tenkes å bli tatt [i] bruk for å identifisere den fysiske personen bør det tas hensyn til alle objektive faktorer, f.eks. vurderingen av hvorvidt opplysninger er kostnadene for og tiden som er nødvendig for å foreta identifikasjonen, idet det tas hensyn til teknologien som er tilgjengelig på behandlingstidspunktet, samt den teknologiske utvikling. Prinsippene om vern av personopplysninger bør derfor ikke få anvendelse på anonyme opplysninger, nærmere bestemt opplysninger som ikke kan knyttes til en identifisert eller identifiserbar fysisk person, eller personopplysninger som er blitt anonymisert på en slik måte at den registrerte ikke lenger kan identifiseres. Denne forordning gjelder derfor ikke behandling av slike anonyme opplysninger, herunder for statistiske formål eller forskningsformål».
Personopplysninger er anonymiserte når de håndteres eller bearbeides slik at de ikke lenger kan knyttes til en identifisert eller identifiserbar fysisk person. Det avgjørende er om personene som opplysningene handler om er identifiserbare. I vurderingen må man se hen til om det er en reell sannsynlighet for identifikasjon, og ikke om identifikasjon kun er hypotetisk mulig og om det er det er mulig å spore opplysningene tilbake til de enkeltpersonene opplysningene knytter seg til.
Tilgangen til andre kilder og metoder for identifisering kan gjøre at opplysninger som alene ikke kan knyttes til en enkeltperson, likevel kan utgjøre personopplysninger. Dette vil i praksis innebære at datasettet som skal anonymiseres må bearbeides for å unngå muligheter for reidentifisering eller bakveisidentifisering.
Pseudonymisering er ikke det samme som anonymisering. Personvernforordningen artikkel 4 nr. 5 definerer pseudonymisering som «behandling av personopplysninger på en slik måte at personopplysningene ikke lenger kan knyttes til en bestemt registrert uten bruk av tilleggsopplysninger, forutsatt at nevnte tilleggsopplysninger lagres atskilt og omfattes av tekniske og organisatoriske tiltak som sikrer at personopplysningene ikke kan knyttes til en identifisert eller identifiserbar fysisk person». Se omtale om både anonymisering og pseudonymisering under.
I EU-domstolens sak C-582-14 Breyer – EUR-Lex - 62014CJ0582 - EN - EUR-Lex (eur-lex.europa.eu) ble det slått fast at i spørsmålet om når en opplysning gjelder en «identifiserbar» person, og dermed er personopplysninger, må vurderes konkret og relativt til den aktuelle aktøren. Domstolen la til grunn at opplysningene kan være personopplysninger dersom den aktuelle virksomheten har rettslige eller praktiske muligheter til å få tilgang til tilleggsopplysninger som gjør det mulig å identifisere enkeltpersoner.
Rekkevidden av begrepet «personopplysninger» har deretter vært oppe i EU-domstolen i sak C-413-23 P EDPS vs. SRB – EUR-Lex - 62023CJ0413 - EN - EUR-Lex (eur-lex.europa.eu). EU-domstolen viderefører sin tolkning fra Breyer-dommen, og presiserer at vurderingen av hvorvidt pseudonymiserte opplysninger er personopplysninger må gjøres basert på den konkrete mottakerens mulighet til å identifisere den registrerte. Dommen i C-413-23 P – EDPS vs. SRB bekrefter at pseudonymiserte opplysninger ikke nødvendigvis må behandles identisk i alle ledd av en behandlingskjede. For enkelte mottakere kan pseudonymiseringen være så effektiv at personene ikke fremstår identifiserbare for dem. Samtidig understreker domstolen at pseudonymisering ikke automatisk gjør opplysningene anonyme.
Risikoen for integritetskrenkelse reduseres dersom helseopplysninger blir anonymisert fordi deltakerne ikke lenger vil kunne gjenkjennes i datasettet, og deltakerne vil ikke lenger ha behov for det samme sterke vernet som personvernforordningen og helseforskningsloven gir ved forskning på person- og helseopplysninger.
Reell anonymisering kan være vanskelig å oppnå for enkelte datasett, eksempelvis ved medisinsk og helsefaglig forskning innenfor svært snevre felt hvor det er begrenset hvem opplysningene kan stamme fra, eller det er snakk om svært omfattende datasett med mange variabler. Det beror på en helhetlig og risikobasert vurdering som påhviler dataansvarlig, der dataansvarlig må gjennomgå og vurdere hvorvidt opplysningene i det enkelte datasettet er å anse som reelt anonyme som resultat av anonymiseringsprosessen.
Å gjøre helseopplysninger og andre personopplysninger anonyme er behandling av personopplysninger, som reguleres av personvernforordningen og taushetspliktsbestemmelsene. Selve anonymiseringsprosessen krever et lovlig behandlingsgrunnlag, og et unntak fra taushetsplikten.
Anonymisering av helse- og personopplysninger
Anonymisering innebærer å gjøre personopplysninger anonyme. Personopplysninger regnes som anonymiserte når de håndteres eller bearbeides slik at de ikke lenger kan knyttes til en identifisert eller identifiserbar fysisk person. Selve anonymiseringsprosessen er å regne som behandling av personopplysninger.
Det kreves derfor et lovlig behandlingsgrunnlag for anonymiseringen av helseopplysningene i et medisinsk og helsefaglig forskningsprosjekt.
Av personvernforordningen artikkel 5 (lovdata.no) nr. 1 bokstav b fremgår det at viderebehandling for formål knyttet til vitenskapelig forskning må kunne anses å være forenlig med det opprinnelige formålet, og skje i samsvar med personvernforordningens artikkel 89 nr. 1, herunder omfattes av nødvendige garantier for å sikre den registrertes rettigheter og friheter. Dette er et unntak fra formålsbegrensingsprinsippet i artikkel 5.
Der viderebehandlingen av opplysningene skal skje til nye forskningsformål hos samme dataansvarlig, vil det i utgangspunktet ikke være nødvendig å hjemle viderebehandlingen i et nytt selvstendig behandlingsgrunnlag. Det opprinnelige formålet i forskningsprosjektet vil dermed ikke være i strid med det nye formålet dersom det nye formålet også er forskning, og omfattet av det opprinnelige behandlingsgrunnlaget, jf. fortalen punkt 50. Dette forutsetter at behandlingen skjer i samsvar med artikkel 89 nr. 1. Personvernforordningen artikkel 89 nr. 1 legger opp til at dersom formålet ved viderebehandling kan oppfylles på en måte som ikke lenger gjør det mulig å identifisere de registrerte, for eksempel ved anonymisering, så skal formålene oppfylles på denne måten. Dette vil være et tiltak for å overholde dataminimeringsprinsippet.
Anonymisering kan etter en nærmere vurdering anses som en forenlig viderebehandling for å oppfylle kravet til dataminimering.
Dataansvarlig må vurdere når anonymisering av opplysningene kan skje i forskningsprosjektet, eksempelvis om man etter innsamlingen kan forske videre på opplysningene anonymt, eller om anonymisering først kan skje når forskningsprosjektet er gjennomført. I denne vurderingen må dataansvarlig ta utgangspunkt i formålet med behandlingen av opplysningene i det konkrete forskningsprosjektet.
Når opplysningene er anonymisert, vil behandlingen av de anonyme opplysninger falle utenfor virkeområdet til både helseforskningsloven og personvernforordningens virkeområde.
Om innsamlingen av helseopplysningene er hjemlet i samtykke fra forskningsdeltakeren eller basert på et vedtak om dispensasjon fra taushetsplikten til forskningsformål etter helseregisterloven § 19 e eller helsepersonelloven § 29 e, har ikke betydning for adgangen til å anonymisere opplysningene. Behandlingen av opplysningene for å anonymisere vil ligge innenfor rammene av samtykket eller unntaket fra taushetsplikten gitt i dispensasjonsvedtaket, for å ivareta dataminimeringsprinsippet og prinsippet om lagringsbegrensning. Det kan også være oppstilt vilkår om sletting eller anonymisering i dispensasjonsvedtaket, som forsknings prosjektet må overholde. Taushetsplikten i slike tilfeller er ikke er til hinder for at dataansvarlig anonymiserer opplysningene.
Dataansvarlig vil dermed kunne gjenbruke de anonyme opplysningene til nye forskningsformål, samt også tilgjengeliggjøre disse til andre virksomheter, uten hinder av taushetsplikt, og uten krav om lovlig behandlingsgrunnlag for tilgjengeliggjøringen. Andre virksomheter som mottaker av disse opplysningene vil heller ikke måtte godtgjøre et selvstendig behandlingsgrunnlag, eller angi et uttrykkelig og spesifisert formål med behandlingen. I forlengelsen av dette vil mottakers behandling også være utenfor virkeområde til helseforskningsloven, herunder krav om forhåndsgodkjenning fra REK mv., ettersom denne forskningen ikke skjer på helseopplysninger.
Dersom det ikke er mulig å bearbeide opplysningene slik at de er å anse som reelt anonyme, eller det nye forskningsformålet ikke kan oppfylles ved bruk av anonyme opplysninger, vil det kunne være grunnlag for å viderebehandle opplysningene ved pseudonymisering. Både direkte identifiserbare helse- og personopplysninger og indirekte helse- og personopplysninger, eksempelvis ved pseudonymisering, er like fullt å anses som personopplysninger omfattet av personvernforordningen. Se omtale i kaptilet om gjenbruk av tidligere innsamlede helseopplysninger.