Fra: NEM og NESH

Til: Datatilsynet

 

Den nasjonale forskningsetiske komité for medisin (NEM) og Den nasjonale forskningsetiske komite for samfunnsvitenskap og humaniora (NESH) har behandlet høringsforslaget. Vi avgir her felles uttalelse.

NEM og NESH støtter forslaget om å utvide unntaket fra konsesjonsplikt for forskningsprosjekter. Komiteene leser imidlertid forslaget som mer radikalt enn en unntaksutvidelse. Forslaget innebærer at Datatilsynet i hovedsak ikke lenger skal foreta forhåndskontroll av forskningsprosjekter for å gi konsesjon. Unntaket fra denne regelen er at store forskningsprogram og langvarige studier fortsatt skal være underlagt forhåndskontroll fra Datatilsynet. Vi leser forslaget slik at Datatilsynet flytter fokus fra forhåndskontroll til etterhåndskontroll, i form av tilsyn gjennom inspeksjoner.

Datatilsynets forslag er forsvarlig, hensiktsmessig og forutseende

Komiteene mener at Datatilsynets forslag er forsvarlig, hensiktsmessig og forutseende. Vi vil begrunne denne positive vurderingen.

I dag er det mange instanser som foretar forhåndskontroll av forskning. Dette har ført til betydelig overlapping, hvor flere instanser vurderer de samme hensynene. I en del tilfeller, og spesielt i vanskelige saker, har det ført til betydelig byråkratisering og lang saksbehandlingstid. Forslaget vil altså innebære en forenkling for forskerne uten at det går på bekostning av personvernet for den enkelte.

Forhåndskontrollen overlates til Personvernombudet for forskning og til de regionale komiteer for medisinsk forskningsetikk (REK). Bare Personvernombudet for forskning omfatter alle forskningsområder, mens REK dekker medisinsk og helsefaglig forskning. Forslaget innebærer at Datatilsynet uttrykker tillit til at disse instansene kan foreta forsvarlige vurderinger for å ivareta personvernet.

Internasjonalt kan man i dag se en klar tendens til at vurderinger skal foretas underveis og etter at prosjekter er gjennomført. I Norge i dag er det kun Statens legemiddelverk som regelmessig foretar inspeksjoner (om enn i beskjedent omfang) etter at prosjekter er igangsatt og gjennomført for å kontrollere at prosjektet også ble gjennomført på en forsvarlig måte i henhold til de vilkår som ble satt innledningsvis. Datatilsynet har også utført noen inspeksjoner, med funn som viser at etterhåndskontroll kan være av stor betydning for praksis. De regionale komiteer for medisinsk forskningsetikk har ikke utført inspeksjoner, men kan kreve at prosjekter skal vurderes på nytt underveis og kan kreve oppfølging av sluttrapporter. Man kan imidlertid merke seg at det i EU er en klar tendens til å ville utvide oppgavene for de forskningsetiske komiteene for medisin til å omfatte monitorering og inspeksjon. Når Datatilsynet nå flytter fokus fra forhåndskontroll til etterhåndskontroll, innebærer ikke det bare at de fyller en viktig mangel ved systemet i dag, men at det også innebærer en hensiktsmessig arbeidsfordeling mellom forhånds- og etterhåndskontroll.

Komiteene fornemmer i høringsforlaget at Datatilsynet kan synes at det har vært vanskelig å frasi seg den myndighet som ligger i konsesjonsplikten, med Datatilsynet som siste skanse. Imidlertid har NEMs arbeid med rapporten om Medisinsk epidemiologi og forskningsetikk, samt forskningsprosjektet i regi av Privireal (som undersøker implementeringen av personverndirektivet i nasjonal lovgivning og i praksis) vist at det er svært få områder med diskrepans. Forskjellen har stort sett ligget i skjønnsmessige vurderinger for når det er akseptabelt å behandle personopplysninger for vitenskapelige formål uten å innhente samtykke. Datatilsynet har hatt tradisjon for å være mer restriktiv enn Personvernombudet for forskning og De regionale komiteer for medisinsk forskningsetikk på disse områder. Nylige avgjørelser i Personvernnemnda tilsier imidlertid at praksis kan være mer liberal enn Datatilsynet har lagt til grunn. Vi leser det foreliggende forslaget slik at Datatilsynet forholder seg konstruktivt til denne utviklingen. Vi deler derfor Datatilsynets vurdering om at vridningen til etterhåndskontroll i denne situasjonen vil gi større personvernmessig gevinst. Datatilsynet vil, på grunnlag av tilsyn, kunne korrigere praksis, og vi antar at det også vil være klageorgan for beslutninger som er fattet av Personvernombudet for forskning eller REK.

Forslag til forskriftstekst

Datatilsynet vil beholde forhåndskontrollen for store forskningsprogram og langvarige studier.

Det er ikke gitt veldig sterke argumenter for at konsesjonsplikten skal opprettholdes for store forskningsprogram. Det sies kun at ”erfaring har vist at alle parter har hatt god nytte av den kommunikasjon som konsesjonsprosessen forutsetter” (pkt. 5). Komiteen tar imidlertid til etterretning at Datatilsynet ønsker å beholde konsesjonsplikten for store forskningsprogram.

Spørsmålet blir da hvordan man skal avgrense konsesjonsplikten, altså hva som fortsatt krever forhåndskontroll fra Datatilsynet. Det er fremlagt to alternativer, ett hvor avgrensningen er skjønnsmessig (stort antall personer, lang varighet) og ett hvor den er tallfestet (5000 personer og varighet utover 15 år).

Komiteene innser at det kanskje er lettest å håndtere en kvantitativ avgrensning. Det kan imidlertid føre med seg utilsiktede virkninger som at det planlegges prosjekter med 4900 personer, osv. for å unngå konsesjonsbehandling. Komiteene mener at prosjekter ofte er av svært forskjellig karakter og at det ikke bare er de kvantitative størrelsene som er avgjørende men omfanget av personopplysninger som skal innsamles og analyseres.

Komiteene støtter derfor alternativ 1, med det tillegg at det overlates til et personvernombud eller REK å avgjøre om prosjektet har behov for konsesjon fra Datatilsynet. Til dette vil komiteen også anføre at dette alternativet bør være åpent for at en forskningsinstitusjon som planlegger å gjennomføre et stort forskningsprogram kan anmode om konsesjon fra Datatilsynet hvis det mener at det gir bedre sikkerhet for rettmessig bruk av personopplysninger.

Når det gjelder unntaket fra frafallsanalyser (altså at frafallsanalyser krever forhåndskontroll), finner ikke komiteen at det foreligger noen begrunnelse for dette. Komiteen er enig i at frafallsanalyser kan være sensitive da man ofte etterspør kunnskap etter at en person har valgt å trekke seg fra en studie eller ikke har besvart en henvendelse. Komiteen ser ikke nødvendigheten av å beholde unntaket for frafallsanalyser, men tar til etterretning at Datatilsynet ønsker å beholde forhåndskontrollen med frafallsanalyser.

Forslag til ny tekst for § 7-27

Komiteene mener at b) punktet forsøker å innbefatte for mange eventualiteter. I dag er det ingen fremleggelsesplikt for noen av de nasjonale komiteene for forskningsetikk. Det er heller ikke sannsynlig at det vil bli slik i nærmeste fremtid, verken i lys av lovhjemlingsforslaget fra Utdannings- og forskningsdepartementet eller Nylennautvalgets utredningsarbeid. Vi foreslår derfor at henvisningen til eventuell tilrådning fra ”nasjonal” komite strykes. Realiteten vil være at et personvernombud skal tilrå alle forskningsprosjekter hvor det inngår personopplysninger, mens oppgavene for de regionale komiteer for medisinsk forskningsetikk er begrenset til tilrådning av medisinsk og helsefaglig forskning.

Teksten bør derfor omformuleres, slik:
a) prosjektet er tilrådd av et personvernombud for forskning, og
b) en regional komite for medisinsk forskningsetikk, når prosjektet omfatter medisinsk og helsefaglig forskning

Det har vært en viss tradisjon for at Datatilsynet har satt som vilkår at NESH skal ha avgitt en positiv vurdering før det tilstås konsesjon. Over en ti års periode dreier ikke dette seg om mer enn et titalls saker. Dette kan ikke stå som et vilkår i forskriftsteksten. Imidlertid mener vi at et personvernombud for forskning kan innhente en vurdering fra NESH hvis det er hensiktsmessig og viktig.