Høringsuttalelse til utkast til ny personopplysningslov og gjennomføring av personvernforordningen i norsk rett

Transkript

1 Justis- og beredskapsdepartementet Kongens gate Oslo Telefon Org.nr Vår ref.: 2017/253 Deres ref.: 17/4200 Dato: Høringsuttalelse til utkast til ny personopplysningslov og gjennomføring av personvernforordningen i norsk rett De nasjonale forskningsetiske komiteene er et forvaltningsorgan under Kunnskapsdepartementet som består av tre fagspesifikke rådgivende komiteer for hhv. medisin og helsefag (NEM), naturvitenskap og teknologi (NENT) og samfunnsvitenskap og humaniora (NESH). I tillegg inngår Nasjonalt utvalg for gransking av uredelighet i forskning (Granskingsutvalget). Komiteene og utvalget er faglig uavhengige, og kan ikke instrueres i faglige spørsmål. Administrasjonen i forvaltningsorganet er felles for komiteene og utvalget, men utfører også egne oppgaver. De nasjonale forskningsetiske komiteene bemerker at det er beklagelig at saken ble sendt på høring i fellesferien, som har ført til at den reelle behandlingstiden har vært kort. For De nasjonale forskningsetiske komiteene har det ikke har vært praktisk mulig å få til en felles behandling på tvers av komitesystemet innenfor høringsfristen. Høringsuttalelsen består derfor av tre separate vedlegg, fra hhv. NENT, NESH og administrasjonen med tilslutning fra NEM. Granskingsutvalget har avstått fra å utforme egen høringsuttalelse, men har overlatt høringsarbeidet til administrasjonen. Vi ønsker å understreke at det ikke er prinsipielle uenigheter mellom de tre uttalelsene. Uttalelsene fra NENT og NESH er forankret i forskningsetikken innenfor sine respektive fagområder, mens uttalelsen fra administrasjonen og NEM inneholder konkrete innspill til departementets høringsnotat og lovforslag. Vi ønsker departementet lykke til med innspurten, og vi stiller oss til disposisjon hvis det er spørsmål knyttet til personvern og forskning. Med vennlig hilsen Espen Engh direktør Vedlegg (3):

2 1. Høringsuttalelse fra Den nasjonale forskningsetiske komité for naturvitenskap og teknologi 2. Høringsuttalelse fra Den nasjonale forskningsetiske komité for samfunnsvitenskap og humaniora 3. Høringsuttalelse fra administrasjonen i De nasjonale forskningsetiske komiteene og Den nasjonale forskningsetiske komité for medisin og helsefag 2

3 NENT Den nasjonale forskningsetiske komité for naturvitenskap og teknologi Kongens gate Oslo Telefon Org.nr Vår ref.: 2017/253 Deres ref. 17/4200ES ØMO7bj Dato: Høringsinnspill fra NENT: Høring om utkast til ny personopplysningslov gjennomføring av personvernforordningen i norsk rett Den nasjonale forskingsetiske komite for naturvitenskap og teknologi (NENT) gir med dette sine innspill til høring om utkast til ny personopplysningslov og gjennomføringen av personvernforordningen i norsk rett. Relevans og behov for økt oppmerksomhet om forskningsetiske spørsmål knyttet til personvern NENT understeker at personvernforordningen og innføringen av den i norsk lovgivning er relevant for NENTs fagområder. Forskningsetiske retningslinjer for naturvitenskap og teknologi inkluderer punkter som omhandler respekt for den enkelte forskningsdeltaker, herunder ansvar for å sikre personvernet til forskningsdeltakeren og respekt for menneskerettigheter. Retningslinjene sier blant annet: Forskningen må ikke bryte med de rettighetene som er nedfelt i internasjonale konvensjoner om sivile, politiske, økonomiske, sosiale og kulturelle menneskerettigheter. Der vitenskapelig og teknologisk utvikling kan misbrukes til å svekke individenes selvbestemmelse, menneskeverd og demokratiske rettigheter, skal forskeren bestrebe seg på å hindre og ikke bli delaktig i slik misbruk av forskningen (punkt 1).

4 Teknologisk utvikling utfordrer personvernet ved at det stadig er enklere å finne, lagre og analysere informasjon om enkeltpersoner, også i forskning. Teknologi kan også brukes på en måte som svekker individers selvbestemmelse, menneskeverd og demokratiske rettigheter, for eksempel dersom det foretas registering av atferd uten at det informeres om dette på forhånd, og dersom opptakene lagres og brukes av ulike aktører uten samtykke fra dem det gjelder. Naturvitenskaplig forskning kan direkte eller indirekte omfatte personopplysninger, selv om dette typisk vil være i mindre grad enn innenfor for eksempel samfunnsvitenskap og medisin og helsefag. Forskere som arbeider innen NENTs fagområder har derfor i mindre grad enn en del forskere innenfor andre fag, forholdt seg til Lov om behandling av personopplysninger (personopplysningsloven) og praksisen med konsesjons- og meldeplikt. Dette understreker betydningen av å høyne bevisstheten om forskningsetiske spørsmål som oppstår ved behandlingen av personopplysninger i naturvitenskapelig og teknologisk forskning. NENT ser at personvernforordningen og innføringen av den i norsk lovgivning kan bidra i så måte, ikke minst ved å utdype ansvaret som tilligger behandlingsansvarlige. Teknologisk utvikling som muliggjør detaljert informasjon på individnivå uten deres viten eller samtykke reiser imidlertid også forskningsetiske spørsmål utover respekt for den enkelte, knyttet til forskningens samfunnsansvar. Når det for eksempel gjelder utvikling av overvåkningsteknologi og biometri, reises ikke bare problemstillinger knyttet til lagring av personopplysninger og håndtering av overskuddsinformasjon, men også bredere spørsmål om tillit til forskning og teknologi på sikt og forskerens ansvar for samfunnsutviklingen. Altså er det behov for en bred forskningsetisk bevissthet når forskningen kommer i berøring med personopplysninger. Positiv styrking av personvernet I den nye personvernforordningen legges det opp til en avveining mellom personvernhensyn og forventet samfunnsnytte slik vi kjenner til fra tidligere lovgivning. Departementet legger til grunn at det som hovedregel bør innhentes samtykke til behandlingen, dersom behandlingen ikke har grunnlag i særlov, men det åpnes også for behandling dersom innhenting av samtykke er umulig eller uforholdsmessig vanskelig. NENT mener det er viktig at det fortsatt legges til rette for den mulige samfunnsverdien av forskning som finner sted uten samtykke fra de berørte. Samtidig er 2

5 det svært gode grunner for å videreføre bestemmelsene som beskytter personvernet. NENT ser positivt på bestemmelsene som kan bidra til å styrke personvernet, knyttet til formålsbegrensning og krav til samtykke. Om konsesjon og ansvar for å vurdere personvernkonsekvenser Forordningen innebærer at konsesjonsplikten bortfaller, samtidig som den legger stor vekt på ansvaret hos virksomheten som skal behandle personopplysninger. Likeledes foreslår departementet at plikten til å innhente konsesjon fra Datatilsynet ikke videreføres og at behandlingsansvarlige og databehandlere får et større lovfestet ansvar. Behandlingsansvarlige og databehandlere får etter nærmere vilkår en plikt til å utpeke personvernrådgiver. Departementet foreslår at kravet om tilrådning fra personvernrådgiver også skal gjelde for forskningsprosjekter som behandler sensitive personopplysninger på grunnlag av samtykke. Videre oppstiller forordningen regler om personvernrådgiverens oppgaver og rolle. Forordningens bestemmelser om personvernrådgiver åpner i liten grad for nasjonale tilpasninger, men NENT har noen kommentarer som gjelder ordningen med personvernrådgiver, som primært gjelder i hvilken utstrekning de offentlige organene som omfattes av plikten har adgang til å ha felles personvernrådgiver. NENT mener ordningen med en personvernrådgiver reiser viktige spørsmål om rolle og kompetanse, og ved bortfallet av konsesjons- og meldeplikten blir disse særlig presserende. Norsk senter for forskningsdata (NSD) er i dag personvernombud for en rekke forskningsinstitusjoner. NENT er kjent med at erfaringer med NSD som personvernombud er gode, og NENT ser at det over lang tid er etablert verdifull kompetanse for sikring av behandling av personopplysninger, inkludert erfaringer med å utrede personvernkonsekvenser og risiko, som bidrar til å minimere mulige personvernmessige ulemper ved forskning. Dette taler for en ordning der NSD fungerer som rådgivende instans for sektoren, alternativt som en rådgivende instans for interne personvernrådgivere. Om ansvaret for å vurdere ivaretagelsen av personvernet desentraliseres, kreves stor kompetanseheving og dermed også store ressurser. I tillegg taler hensynet til likebehandling for en ordning der ansvaret for å vurdere personvernkonsekvenser og risiko ligger hos en felles personvernrådgiver. Hva som anses som personvernmessige 3

6 konsekvenser og risiko kan tolkes svært ulikt. Dette kan få stor innvirkning på vurderingen og på hvilken forskning som utføres. Forordningen innebærer at ordningen med personvernrådgiver utvides vesentlig. Det følger av forordningen at personvernrådgiveren minst skal ha de oppgavene som listes opp. Bestemmelsen åpner altså for etter ordlyden for at personvernrådgiveren kan ha flere oppgaver enn det forordningen som et minimum krever. Slike oppgaver vil for eksempel kunne følge av personvernrådgiverens avtale med den behandlingsansvarlige. NENT savner en avklaring av den rollen en personvernrådgiver er tiltenkt versus den rollen etikkomiteer- og utvalg har, som gjerne vurderer bredere forskningsetiske spørsmål. Akademiske ytringer Komiteen registrerer at det er en avgrensing av virkeområdet for forordningen for bruk av personopplysninger også for akademiske ytringer. NENT ser at det vil være en fordel å presisere hva som ligger i dette begrepet, for å sikre at personvernhensyn ivaretas. På vegne av Den nasjonale forskningsetiske komite for naturvitenskap og teknologi (NENT), Øyvind Mikkelsen Leder, NENT Helene Ingierd Sekretariatsleder, NENT 4

7 Innspill fra Den nasjonale forskningsetiske komité for samfunnsvitenskap og humaniora (NESH) om EUs personvernforordning og ny norsk personopplysningslov Følgende momenter er fremhevet av NESH i møte 20. september 2017: 1. Det er viktig å understreke forskjellen på personvern og forskningsetikk. Samtidig er det viktig å se jussen og etikken i sammenheng, spesielt ved bortfall av merknaden til 7-27 i nåværende forskrift til personopplysningsloven hvor det står følgende om ansvaret til Datatilsynet og personvernombudet: «Samtidig krever det at personvernombudet har kjennskap til forskningsetikk og på eget initiativ forelegger prosjekter som oppfattes som forskningsetisk tvilsomme for en komité.» NESH stiller spørsmål ved hvordan dette vil bli håndtert i den nye ordningen, både med hensyn til personvernrådgivers kompetanse og konkret behandling av det enkelte prosjekt. NESH mener en tilsvarende formulering bør med, enten i lov eller forskrift, slik at håndteringen av forskningsetikken blir ivaretatt på en skikkelig måte. I så fall bør formuleringen «forskningsetisk tvilsomme» erstattes med «enkeltsaker som reiser prinsipielle spørsmål» (jf. forskningsetikkloven). 2. Det bør også presiseres hva som ligger i «etiske standarder» ved vurdering av samtykke (fortalepunkt 33). NESH mener dette bør knyttes til forskningsetiske retningslinjer og formuleringen «anerkjente forskningsetiske normer» (jf. forskningsetikkloven). 3. NESH mener det er viktig å fastholde en bred tilnærming til begrepet «forskning» (jf. fortalepunkt 160). Dette er i tråd med den brede tilnærmingen i NESHs retningslinjer (2016, s. 5). Det står imidlertid i motstrid til enkelte formuleringen i forskningsetikkloven, som har en snevrere definisjon. NESH etterlyser uansett en bredere klargjøring av begrepet «forskning», slik det skal legges til grunn for ny personopplysningslov (jf. SOU 2017:50). 4. Det er behov for å tilføye forskning som et selvstendig behandlingsgrunnlag slik det blant annet er gjort i Sverige (EU, art. 6; jf. SOU 2017:50, s. 44). 5. Ved behandling av sensitive personopplysninger mener NESH det er behov for å supplere fortolkningen i den nye loven 6 a. Hvorvidt samtykke er «umulig eller uforholdsmessig vanskelig» er ikke bare et praktisk spørsmål. Det har også implikasjoner for både forskning og forskningsetikk, slik NESH var poengtert i flere saker: I noen tilfeller kan krav om samtykke være til hinder for god forskning, i andre sammenhenger kan krav om samtykke ha tyngre forskningsetiske implikasjoner enn det å fravike kravet. NESH mener derfor det er viktig å presisere dette i ny lov 6, evnt. ved tilføyelsen av det er utilrådelig eller uhensiktsmessig, altså at det er «umulig, utilrådelig/uhensiktsmessig eller uforholdsmessig vanskelig».

8 6. NESH mener det bør presiseres om at personvernrådgiver også skal ha kjennskap til forskningsetikk og til det forskningsetiske systemet (jf. merknad over om 7-27). 7. NESH mener barns samtykke ikke er tilstrekkelig behandlet i høringsnotatet (jf. forordningen art. 8). Barn har en selvstendig rett til å bli hørt, også om deltakelse i forskning (jf. NESH 2016: retningslinje 14). Barns rett til samtykke er også nylig presisert i kommende forskrift til helseforskningsloven. 8. NESH merker seg unntaket for «akademiske ytringer» i forordningen (art. 85) og ser ikke behov for ytterligere presiseringer. 9. NESH merker seg unntaket for «historisk forskning» på «døde personer» (fortalepunkt 160) og vil presisere at forskningsetikken like fullt er relevant i flere sammenhenger, for eksempel ved identifisering av tredjepart (etterlevende av den døde) og forskning på menneskelige levninger. 10. NESH mener det er behov for å vurdere hensiktsmessigheten av å bruke begrepet «pseudonymisering» da dette verken er vanlig i norsk rett eller i de forskningsetiske retningslinjene, som snarere skiller mellom anonymiserte og avidentifiserte data (NESH 2016, retningslinje 10).

9 Høringsuttalelse til implementeringen av personvernforordningen i norsk rett 1. Innledning Denne høringsuttalelsen er utarbeidet av administrasjonen i forvaltningsorganet De nasjonale forskningsetiske komiteene, med tilslutning og innspill fra Den nasjonale forskningsetiske komité for medisin og helsefag. Nedenfor er begge omtalt samlet som «administrasjonen i De nasjonale forskningsetiske komiteene». Høringsuttalelsen består av innledende bemerkninger om forskningsetikk og personvern (punkt 2), mens hoveddelen inneholder konkrete innspill til høringsnotatet og lovforslaget (punkt 3). Avslutningsvis har vi noen innspill til oversettelsen av forordningen til norsk (punkt 4). 2. Om forskningsetikk og personvern Administrasjonen i De nasjonale forskningsetiske komiteene ønsker å tydeliggjøre følgende premisser for våre innspill i dette høringssvaret: - Etisk god og ansvarlig forskning er avgjørende for et demokratisk samfunn - Forskning foregår på ulike fagområder, med ulike vitenskapelige metoder og ulike utgangspunkt for personvern - Personvern er en sentral del av forskningsetikken, og utfyller bestemmelsene i personvernlovgivningen - Det er begrenset med særlovgivning om forskning Forskning og personvern henger nøye sammen, og forskning har bidratt til å sette personvern på politisk dagsorden gjennom mange tiår på godt og vondt. Innenfor medisinsk og helsefaglig forskning har personvern vært del av forskningsetikken lenge før den første personregisterloven trådte i kraft i Personvern har i dag blitt en integrert del av forskningsetikken på alle fagområder, som det tydelig fremgår av nasjonale og internasjonale forskningsetiske retningslinjer. Det er bare helseforskningsloven som direkte regulerer forskning og personvern. Lovens virkeområde er imidlertid begrenset, og gjelder kun forskning som gir ny kunnskap om helse og sykdom. Forskningsprosjekter innenfor helsetjenester/sykepleie, idrettsforskning, helseøkonomi mv. faller i de fleste tilfellene utenfor lovens virkeområde. I disse forskningsprosjektene er personvernet regulert av personopplysningsloven og forskningsetiske normer, i likhet med forskningsprosjekter på alle andre fagområder.

10 3. Konkrete innspill til høringsnotatet og forståelsen av forordningen Gjennomgangen følger nummereringen i departementets høringsnotat. Strykningsforslag er markert med gjennomstreket tekst, mens alle endrings- eller tilleggsforslag er markert i fet kursivert skrift. Punkt i høringsnotatet; lovens virkeområde avdøde personer og historisk forskning Administrasjonen i De nasjonale forskningsetiske komiteene viser til punkt 160 i fortalen til forordningen og punkt i høringsnotatet (side 17), om at opplysninger om avdøde personer i hovedsak faller utenfor virkeområdet for forordningen og loven. Vi støtter departementets fortolkning, og legger til grunn at historisk forskning som behandler opplysninger som kun gjelder avdøde personer faller utenfor virkeområdet for forordningen og personopplysningsloven. Forståelsen av forordningen artikkel 4 nr. 5; behov for avklaringer av begrepet «pseudonymisering I forordningen og i den uoffisielle norske oversettelsen brukes begrepet «pseudonymisering». Begrepet er allerede i bruk i norsk rett, for eksempel i Forskrift om pseudonymt register for individbasert helse- og omsorgsstatistikk. 1 Etter gjeldende norsk rett innebærer «pseudonymisering» at de registrerte får tildelt en entydig identifikator slik at personopplysningene er individualisert, men personens reelle identitet er skjult. Definisjonen av «pseudonymisering» i artikkel 4 nr. 5 i forordningen avviker vesentlig fra begrepet som er innarbeidet i norsk rett. Slik vi forstår definisjonen i artikkel 4 nr. 5, samsvarer definisjonen innholdsmessig med begrepene «avidentifiserte personopplysninger» og «indirekte personidentifiserbare opplysninger», se for eksempel begrepsforklaringer gitt av personvernombudet for forskning i NSD. 2 Det gir grunnlag for uklarheter og misforståelser når forordningen innfører en ny definisjon og et nytt meningsinnhold for et allerede innarbeidet begrep. Vi ber departementet avklare hvordan begrepet «pseudonymisering» i forordningen skal forstås sammenliknet med begrepene «pseudonymisering», «avidentifiserte personopplysninger» og «indirekte personidentifiserbare opplysninger» som er innarbeidet i norsk rett og forvaltningspraksis. Kapittel 7 i høringsnotatet; behandlingsgrunnlag Oppsummert foreslår administrasjonen i De nasjonale forskningsetiske komiteene følgende: - Uten en egen personopplysningslov for forskning, er det nødvendig å ta inn en bestemmelse i personopplysningsloven som supplerende behandlingsgrunnlag til 1 Se definisjonen i 1-2: 2

11 artikkel 6 nr. 1 bokstav e. Bestemmelsen kan utformes i tråd med forslaget til 6 i den svenske forskningsdatalagen, jf. SOU 2017:50. - Hvis departementet ikke går inn for forslaget om å lovfeste et behandlingsgrunnlag for forskning, er det nødvendig å avklare spørsmålene som gjelder anvendelsen av artikkel 6 nr. 1 bokstavene e og f i forskning. Avklaringene kan med fordel tas inn i lovproposisjonen, og i loven der det er nødvendig. Begrunnelser for forslagene og spørsmål som bør avklares: Mye vitenskapelig forskning gjelder behandling av personopplysninger som ikke er blant de «særlige kategoriene» av personopplysninger. Vi registrerer at departementet har foreslått et særlig behandlingsgrunnlag i personopplysningsloven 6 for de særlige kategoriene, men ingen for de «alminnelige» personopplysningene. Den klare hovedregelen for forskning, også etter forskningsetikken, er at personopplysninger skal behandles på grunnlag av samtykke. Imidlertid finnes det tilfeller der det ikke er praktisk mulig eller etisk forsvarlig å innhente samtykke. Behandlingsgrunnlagene i personopplysningsloven 8 d og f har vært viktige for å gjennomføre denne typen forskningsprosjekter. Administrasjonen i De nasjonale forskningsetiske komiteene legger til grunn at forordningens artikkel nr. 6 nr. 1 bokstavene e og f er mest aktuelle som behandlingsgrunnlag for forskning der samtykke ikke er mulig eller forsvarlig å innhente. Angående fortolkningen av bokstav e, er vi enig med departementet i at det er nødvendig med et supplerende rettslig grunnlag i nasjonal rett. Forskning i Norge utføres av både offentlige og private aktører. Alle norske universiteter og høyskoler («UH-sektoren») har forskning som en av sine hovedforpliktelser, uavhengig av om de er offentlige eller private, jf. universitets- og høyskoleloven 1-3. Det samme gjelder sykehusene, jf. spesialisthelsetjenesteloven 3-8. Etter vårt syn er det uklart om de lovbestemte forskningsoppgavene oppfyller kravet til supplerende rettslig grunnlag i forordningens artikkel 6 nr. 1 bokstav e. I alle tilfeller er det en rekke forskningsinstitusjoner som ikke har forskning som lovpålagt oppgave. Dette gjelder for eksempel hele instituttsektoren, som består av både offentlige og private aktører. Det mest aktuelle behandlingsgrunnlaget der samtykke ikke er hensiktsmessig, vil i så fall være artikkel 6 nr. 1 bokstav f. Dette alternativet vil også være aktuelt for øvrige forskningsinstitusjoner dersom forskning som lovpålagt oppgave ikke er tilstrekkelig som behandlingsgrunnlag etter bokstav e. Vi kan ikke se at det er noen formelle hindringer for private forskningsinstitusjoner i å benytte unntaket i bokstav f. Derimot er det uklart om unntaket gjelder for offentlige forskningsinstitusjoner. Spørsmålet blir om forskning ved offentlige forskningsinstitusjoner er å anse som «behandling som utføres av offentlige myndigheter som ledd i utførelsen av deres oppgaver», jf. siste setning i artikkel 6 nr. 1. Vi imøteser departementets avklaring. På grunnlag av disse uklarhetene, oppfordrer vi departementet til å fastsette en egen hjemmel i personopplysningsloven for behandling av personopplysninger i forskning. Bestemmelsen kan for eksempel bygge på forslaget til 6 i den svenske

12 forskningsdatalagen, jf. SOU 2017:50. 3 Hvis dette ikke er aktuelt, ber vi departementet oppklare uklarhetene/spørsmålene i lovproposisjonen som sendes til Stortinget. Kapittel 8 i høringsnotatet; behandling av sensitive personopplysninger og 6 i lovutkastet Oppsummert foreslår administrasjonen i De nasjonale forskningsetiske komiteene følgende endringer til 6 i lovforslaget: - Overskriften bør endres til «Behandling av særlige kategorier av personopplysninger for arkivformål i allmennhetens interesse, for formål knyttet til vitenskapelig eller historisk forskning eller for statistiske formål». - Første ledd bokstav a) bør strykes, og vilkårene som gjenstår bokstaveres deretter. - Det tilføyes et tredje ledd som stiller krav om at personvernrådgiveren må ha kompetanse i forskningsetikk. - Departementet bør avklare om tilbydere av tjenester som personvernrådgiver for forskning fra andre land i EØS-området kan tilby sine tjenester i Norge, og om norske offentlige virksomheter må følge anskaffelsesreglene ved innkjøp av denne typen tjenester. Begrunnelser for forslagene og spørsmål som bør avklares: Vi registrerer at forslaget til 6 i personopplysningsloven bruker samlebetegnelsen «sensitive personopplysninger». Vi mener dette er uheldig, da begrepet ikke er definert i forordningen eller i lovforslaget. Om en personopplysning oppfattes som sensitiv eller ikke, beror i stor grad på en subjektiv vurdering. Dette kan føre til uklarheter om innholdet og rekkevidden av forslaget til 6 i loven. Artikkel 9 i forordningen omtaler det som «særlige kategorier av personopplysninger», og det eneste kategoriene har til felles er at de er gitt et sterkere vern. Vi mener forordningsbegrepet bør brukes i den norske loven også. Dette vil tydeliggjøre sammenhengen mellom forordningen og loven, samtidig som man unngår å bruke en samlebetegnelse som ikke er definert noe sted. Departementets forslag til 6 i personopplysningsloven gjelder bruken av særlige kategorier personopplysninger til blant annet forskning, jf. forordningen artikkel 9 nr. 2 bokstav j. Departementet skriver på side 38 i høringsnotatet at de «legger til grunn at det som hovedregel bør innhentes samtykke til behandling av sensitive personopplysninger dersom behandlingen ikke har grunnlag i særlov». Det er ikke gitt nærmere begrunnelse for dette standpunktet. Departementet legger opp til snevre unntak; bare hvis det er «umulig eller uforholdsmessig vanskelig» å innhente samtykke. Administrasjonen i De nasjonale forskningsetiske komiteene mener departementets forslag bryter med forordningen artikkel 9 nr. 2 bokstav j som et selvstendig behandlingsgrunnlag på linje med samtykke etter bokstav a. Det norske forslaget gjør 3 ndling-for-forskningsandamal-sou pdf

13 samtykke til hovedregel, og begrenser bokstav j i forordningen som et selvstendig behandlingsgrunnlag. Det er ikke alltid praktisk mulig eller etisk forsvarlig å innhente samtykke til forskning. Dette gjelder særlig ved kritisk samfunnsforskning, som for eksempel forskning på voldelige relasjoner, korrupsjon, kriminelle nettverk og ekstremisme. Denne typen forskning krever egne forskningsmetoder, for eksempel at forskeren går «under cover». Forslaget til 6 i loven kan føre til at norske forskere ikke kan bruke anerkjente vitenskapelig metoder innenfor sitt fagområde, som igjen vil gå ut over kvaliteten på forskningen. I mange tilfeller vil det ikke være mulig å gjennomføre forskningen hvis det er krav om samtykke. Det norske samfunnet risikerer dermed å miste kunnskap om viktige og vanskelige temaer. Vår klare oppfatning er at artikkel 9 nr. 2 bokstav j i forordningen bør videreføres i 6 i personopplysningsloven som et alternativ til samtykke etter artikkel 9 nr. 2 bokstav a. Dette bør gjøres ved å stryke departementets forslag til bokstav a i 6. For ordens skyld minner vi om at forskningsetikken krever samtykke fra forskningsdeltakerne, og samtykke kan bare fravikes hvis det er etisk forsvarlig. Forskere som bryter anerkjente forskningsetiske normer, som for eksempel samtykke, kan bli holdt ansvarlige i medhold av forskningsetikkloven. Forskningsinstitusjonene har lovfestet ansvar for å håndtere alle saker som gjelder brudd på anerkjente forskningsetiske normer. Det er derfor ikke snakk om et «frislipp» ved å stryke forslaget til 6 første ledd bokstav a; det gir kun noe mer fleksibilitet der det etisk sett er forsvarlig å fravike samtykkekravet. Dersom departementet velger å opprettholde kravet om samtykke for alle forskningsprosjekter, mener vi unntaksbestemmelsene må formuleres så vidt at det fortsatt blir mulig å gjennomføre samfunnskritisk forskning. I forslaget til 6 gjelder unntakene der det er «umulig eller uforholdsmessig vanskelig» å innhente samtykke. Dessverre er innholdet i begrepene ikke forklart. Erfaringene fra gjeldende personopplysningslov tilsier at unntakene først og fremst forstås som praktiske vanskeligheter med å innhente samtykke, for eksempel ved mange forskningsdeltakere. En slik snever forståelse av unntakene er ikke forskningsetisk forsvarlig. Administrasjonen i De nasjonale forskningsetiske komiteene mener ordlyden i artikkel 89 i forordningen - umulig eller i alvorlig grad vil hindre oppfyllelsen av formålene med behandlingen - er langt mer hensiktsmessig. Vi foreslår derfor at unntakene i 6 første ledd formuleres i tråd med ordlyden i forordningen, se vårt subsidiære forslag til ordlyd nedenfor. Administrasjonen i De nasjonale forskningsetiske komiteene er enig med departementet i at forskningsprosjekter som behandler de særlige kategoriene av personopplysninger må være tilrådd av personvernrådgiveren. Vi er videre enige i at krav om tilråding også må gjelde forskningsprosjekter som er basert på samtykke. I merknadene til personvernforskriften 7-27 fremgår det at personvernombudet skal ha kjennskap til forskningsetikk og skal legge frem prosjekter som er «forskningsetisk tvilsomme» for en komité forstått som en av de nasjonale forskningsetiske komiteene som er lovregulert i forskningsetikkloven 9. Koblingen mellom personvern og etikk har etter våre erfaringer hatt stor betydning i enkeltsaker. Vi mener en tilsvarende formulering bør være med i den nye loven, for eksempel som et nytt tredje ledd i 6.

14 Vi bemerker at det er et paradoks at personvernforordningens tanke om én postkasse (one-stop-shop) ikke vil gjelde for forskningsprosjekter innenfor medisin og helsefag hvis departementets forslag gjennomføres. Hittil har disse prosjektene fått behandlingsgrunnlag og etisk forsvarlighetsvurdering i samme vedtak. Med departementets forslag må disse prosjektene forholde seg til to ulike instanser. Vi vil oppfordre departementet til å utrede mulighetene for at tilrådingen i forskningsprosjekter under helseforskningsloven gis av Regionale komiteer for medisinsk og helsefaglig forskningsetikk (REK), sammen med den etiske forsvarlighetsvurderingen, slik det følger av dagens lovgivning. Denne løsningen vil gi mindre byråkrati, og samtidig sikre sammenhengen mellom etikk og personvern. På side 39 i høringsnotatet nevner departementet erfaringene med NSD som personvernrådgiver for forskning, og skisserer forslag til hvordan NSD kan fungere som personvernrådgiver for forskning under forordningen. Så langt vi kan forstå, vil det å være ekstern personrådgiver (i motsetning til personvernrådgiver ansatt hos behandlingsansvarlig) være en tjeneste som er underlagt EØS-avtalen og EUs fire friheter. I så fall må det innebære at tjenester som personvernrådgiver kan tilbys av virksomheter som er basert i andre EØS-land. Offentlige virksomheters innkjøp av tjenestene må i så fall baseres på konkurranse, der gjennomføringsmåten er avhengig av såkalte «terskelverdier». Vi synes det er uheldig at NSD er brukt som eneste eksempel på tilbyder av tjenester som personvernrådgiver. Det kan gi feilaktige signaler, og kan føre til at virksomheter gjør feil ved anskaffelsen av denne typen tjenester. Dersom det er meningen at NSD er tiltenkt et monopol, burde dette fremgått klart i høringsnotatet. Til sist vil administrasjonen i De nasjonale forskningsetiske komiteene be departementet avklare om en tilråding er å anse som et enkeltvedtak etter forvaltningsloven 2 b, jf. 2 a. Etter vår oppfatning er det klart at en tilråding etter forslaget til 6 i personopplysningsloven vil være bestemmende for enkeltpersoners rettigheter og plikter. Det fremstår mindre klart om tilrådingen skjer under utøvelse av offentlig myndighet. Har det noen betydning om personvernrådgiveren er ansatt internt hos behandlingsansvarlig eller om tjenesten kjøpes eksternt? Har det videre noe å si om en ekstern tilbyder er offentlig eller privat? Vi imøteser en avklaring av disse spørsmålene. Endringsforslagene innarbeidet i lovteksten: En lovtekst som ivaretar forslagene våre ovenfor, kan for eksempel formuleres slik: «6 Behandling av særlige kategorier av personopplysninger for arkivformål i allmennhetens interesse, for formål knyttet til vitenskapelig eller historisk forskning eller for statistiske formål Forbudet i personvernforordningen artikkel 9 nr. 1 gjelder ikke i den utstrekning behandlingen er nødvendig for arkivformål i allmennhetens interesse, for vitenskapelige eller historiske forskningsformål eller for statistiske formål dersom det er fastsatt i lov eller i medhold av lov at det er adgang til slik behandling, eller dersom a) innhenting av samtykke etter personvernforordningen artikkel 9 nr. 2 bokstav a er umulig eller uforholdsmessig vanskelig a) samfunnets interesse i at behandlingen finner sted klart overstiger ulempene for den enkelte

15 b) den behandlingssansvarlige setter i verk egnede og særlige tiltak for å verne den registrertes grunnleggende rettigheter og interesser og c) den behandlingsansvarlige har utpekt personvernrådgiver og personvernrådgiveren har tilrådd behandlingen. Forskningsprosjekter som er underlagt helseforskningsloven skal i stedet være tilrådd av den regionale komiteen for medisinsk og helsefaglig forskningsetikk. Første ledd bokstav c gjelder tilsvarende når opplysninger som omtalt i personvernforordningen artikkel 9 nr. 1, behandles for vitenskapelige eller historiske forskningsformål på grunnlag av den registrertes samtykke etter personvernforordningen artikkel 9 nr. 2 bokstav a. Personvernrådgiveren i første ledd bokstav c skal ha kjennskap til forskningsetikk, og bør i prinsipielle spørsmål innhente råd fra de nasjonale forskningsetiske komiteene, jf. 9 i lov om organisering av forskningsetisk arbeid.» Subsidiært, dersom departementet velger å beholde første ledd bokstav a i sitt lovforslag, bør unntakene fra samtykke formuleres slik: «Forbudet i personvernforordningen artikkel 9 nr. 1 gjelder ikke i den utstrekning behandlingen er nødvendig for arkivformål i allmennhetens interesse, for vitenskapelige eller historiske forskningsformål eller for statistiske formål dersom det er fastsatt i lov eller i medhold av lov at det er adgang til slik behandling, eller dersom a) innhenting av samtykke etter personvernforordningen artikkel 9 nr. 2 bokstav a er umulig eller uforholdsmessig vanskelig, eller i alvorlig grad vil hindre oppfyllelsen av formålene med behandlingen.[ ] Kapittel 10 i høringsnotatet; behandling av personopplysninger om straffedommer og lovovertredelser Administrasjonen i De nasjonale forskningsetiske komiteene registrerer at forskningshensyn er fraværende i kapittel 10 i høringsnotatet. Det er svært beklagelig, da både grunnforskning og oppdragsforskning på vegne av for eksempel offentlige myndigheter kan ha behov for å forske på straffedommer og lovovertredelser. Slik forskning utføres av både offentlige og private forskningsinstitusjoner. Det er mulig at behandlingen av opplysningene ved offentlige forskningsinstitusjoner kan anses å være «under en offentlig myndighets kontroll», men dette vil i så fall avskjære de private forskningsinstitusjonene fra å forske på denne typen personopplysninger. Vi registrerer at svenskene har sett det nødvendig å innta egen hjemmel i 12 i deres forslag til personopplysningslov for forskning (SOU 2017:50). Etter vårt syn har norsk forskning behov for en tilsvarende hjemmel. I mangel av en egen lov om behandling av personopplysninger i forskning, bør hjemmelen tas inn i personopplysningsloven. Bestemmelsen kan eksempelvis formuleres slik, med utgangspunkt i det svenske lovforslaget: Personopplysninger som gjelder fellende straffedommer, lovovertredelser som gir straff eller straffeprosessuelle tvangsmidler kan behandles til

16 vitenskapelige eller historiske forskningsformål dersom behandlingen er nødvendig. Den behandlingsansvarlige må ha utpekt personvernrådgiver, og personvernrådgiveren må ha tilrådd behandlingen. Personvernrådgiveren skal ha kjennskap til forskningsetikk, og kan i prinsipielle spørsmål innhente råd fra de nasjonale forskningsetiske komiteene, jf. 9 i lov om organisering av forskningsetisk arbeid. Kapittel 13.9 i høringsnotatet; atferdsnormer De nasjonale forskningsetiske komiteene utarbeider forskningsetiske retningslinjer. Retningslinjene angir «beste praksis» for forskere, forskningsinstitusjoner og oppdragsgivere, deriblant forskningsetiske normer for personvern. De forskningsetiske normene fungerer som «bransjenormer» for forskning, men de er forankret i hele bredden av forskningsetikken, og er ikke begrenset til personvern. Det fremstår som lite hensiktsmessig at Datatilsynet skal godkjenne de forskningsetiske retningslinjene, samtidig som det kan føre til at forskning ikke får fordelene som følger med godkjente bransjenormer. Vi oppfordrer departementene og Datatilsynet til å vurdere hva som kan gjøres for å ivareta gode forskningsvilkår og personvern. Kapittel 14 i høringsnotatet; personvernrådgiver Administrasjonen i De nasjonale forskningsetiske komiteene er enige med departementet i at man bør bruke det norske begrepet «personvernrådgiver» for å få en enhetlig begrepsbruk i norsk rett. Ny begrepsbruk markerer en tydeligere overgang til et nytt regelverk med nye oppgaver, og ikke minst overgangen fra frivillig ordning til lovbestemt forpliktelse. Vi forutsetter at endringene i forordningen ikke innebærer en svekkelse av ordningen med personvernombud. Personvernrådgiveren må fortsette å være en uavhengig instans på samme måte som ombudsordningen har fungert hittil. Kapittel 15 i høringsnotatet; melde- og konsesjonsplikt Administrasjonen i De nasjonale forskningsetiske komiteene støtter departementets forslag om å fjerne generell konsesjons- og meldeplikt, og erstatte det med en snever «sikkerhetsventil» i personopplysningsloven og eventuelle egne bestemmelser i særlovgivningen der det måtte bli aktuelt. Vi mener det er helt nødvendig med overgangsregler for gjeldende konsesjoner, i hvert fall for konsesjoner som er gitt til forskningsprosjekter. Fortrinnsvis mener vi gjeldende konsesjoner til forskningsprosjekter må gjelde ut tiden de er gitt for. Dette innebærer at forordningen ikke gis tilbakevirkende kraft på allerede gitte konsesjoner til forskning. Personvern har hatt en sterk posisjon i Norge over flere tiår. Å innføre kravene i personvernforordningen i pågående forskningsprosjekter som allerede er vurdert og har fått konsesjon, vil etter vår vurdering kun skape praktiske vanskeligheter uten å bidra til økt personvern.

17 Etter vårt syn er det lite hensiktsmessig å slette konsesjoner til forskningsprosjekter etter et gitt tidsrom. En slik ordning vil særlig ramme prosjektene som har konsesjon som utløper rett før eller etter fristen. Det er ikke usannsynlig at prosjektene vil bruke tid og ressurser på å tilpasse seg til forordningen, ressurser som mye heller bør brukes til å gjennomføre prosjektet på en god måte. Et bedre alternativ dersom konsesjonene til forskningsprosjekter ikke skal vare ut konsesjonsperioden, er at behandlingsansvarlige sammen med personrådgiveren lager en plan for overgang til bestemmelsene i forordningen. Personvernrådgiveren vil ha ansvaret for å påse at forskerne gjennomfører overgangen i henhold til tidsplan. Det kan settes en relativt vid overgangsfase dersom det anses nødvendig; heller ti år enn to. Kapittel 24 i høringsnotatet; administrativ inndragning Administrasjonen i De nasjonale forskningsetiske komiteene bemerker at systemet etter gjeldende rett har fungert tilfredsstillende for forskning, der forskningsprosjekter som har brutt reglene for personvern er blitt pålagt å slette de innsamlede dataene og resultatene. Etter det vi har kjennskap til, har dette fungert tilfredsstillende. Vi kan ikke se behov for at Datatilsynet skal utføre denne typen inndragning for forskningsprosjekter. Ved eventuell lovfesting, oppfordrer vi departementet til å gjøre unntak slik at forskning ikke blir utsatt for administrativ inndragning. Kapittel 28 i høringsnotatet; behandling i journalistisk, akademisk, kunstnerisk eller litterær virksomhet Oppsummert foreslår administrasjonen i De nasjonale forskningsetiske komiteene følgende: - Overskriften til 3 i personopplysningsloven endres til «Forholdet til ytrings- og informasjonsfriheten» - «Akademiske ytringer» må forstås som ytringer som er frembragt gjennom vitenskapelig metode og som er ment for offentligheten, og der det er foretatt avveininger mot personvernhensyn. - Fortolkningen bør fremgå av lovproposisjonen som oversendes til Stortinget. Begrunnelser for forslagene: I høringsnotatet (ss ) diskuterer departementet begrepet «akademiske ytringer», som er nytt i forordningen. Departementet konstaterer at det nærmere meningsinnholdet er uklart og må fastsettes gjennom praksis. Begrepet avgrenses imidlertid mot forskning. Departementets begrunnelse er at forordningen gjelder for forskning, og at adgangen til å gjøre unntak for forskning er regulert i artikkel 89. Argumentasjonen er sammenfallende med den i SOU 2017:50, side 110. Vi gjør oppmerksom på at unntakene i artikkel 85 gjelder hele kapittel IX i forordningen, inkludert artikkel 89. Det blir derfor misvisende å bruke artikkel 89 som argument for at «akademiske ytringer» i artikkel 85 ikke gjelder for forskningsaktivitet.

18 Det er overraskende at departementet betrakter akademiske ytringer og forskning som atskilte enheter. Vi setter spørsmålstegn ved denne tilnærmingen, som fremstår relativt ubegrunnet i høringsnotatet. Den individuelle akademiske friheten for ansatte i UH-sektoren ble lovfestet i 2006 i 1-5 i universitets- og høyskoleloven, men bygget før det på sedvane. Forskning og formidling basert på vitenskapelige sannhetsidealer utføres i dag ved en lang rekke institusjoner, ikke bare i akademia. Akademisk frihet gjelder for alle forskere, men det er bare ansatte i UH-sektoren som har det som en lovfestet rett. Akademisk frihet gir rett og plikt til å forske i tråd med vitenskapelige sannhetsidealer, til å undervise og til å formidle kunnskapen tilbake til samfunnet. Alle oppgavene er knyttet sammen. Det ser ut som departementet i høringsnotatet er inne på tanken om at forskning er en forutsetning for akademiske ytringer, men dessverre skyves problemstillingen bort uten tilstrekkelig begrunnelse. Kjernen i all vitenskap er kritisk tenkning. Hovedoppgaven for akademia er å komme fram til ny kunnskap, for deretter å dele kunnskapen med studenter og resten av samfunnet. Akademia og vitenskapelig forskning inngår som bærende elementer i et demokratisk samfunn, på lik linje med media, kunst og litteratur. Det er helt essensielt at slik virksomhet kan gjennomføres uten å utsettes for sensur. Personvern kan i mange tilfeller føre til sensur, også av akademiske ytringer. Unntaket for akademiske ytringer i artikkel 85 er derfor en helt nødvendig tilføyelse i personvernforordningen. Med grunnlag i det som er sagt ovenfor, vil vi argumentere for at akademiske ytringer må forstås både snevrere og videre enn det departementet synes å legge til grunn i høringsnotatet. Begrepet er videre fordi det må omfatte alle de lovfestede forpliktelsene til akademiske institusjoner, det vil si både forskning, undervisning og formidling, i tillegg til vitenskapelig forskning med sikte på formidling til et offentlig publikum. Begrepet kan på ingen måte begrenses til vitenskapelig publisering. Vitenskapelig publisering regnes allerede i dag av Datatilsynet som en «litterær ytring» som er unntatt gjeldende regelverk. Dersom «akademiske ytringer» kun skal tolkes som vitenskapelige publikasjoner, vil dette ikke føre til noen reell utvidelse av unntaket. Dette kan umulig ha vært intensjonen fra EUs side. Begrepet «akademiske ytringer» må tolkes snevrere fordi det først og fremst gjelder ytringer som er ment for offentligheten og som er basert på vitenskapelig metode. I tillegg må det være foretatt en interesseavveining mot personvernhensyn i tråd med artikkel Til sammen innebærer vår fortolkning av artikkel 85 et begrenset unntak, men unntaket vil være av avgjørende betydning for et fungerende demokratisk samfunn. Erfaringene med unntakene i 7 i gjeldende personopplysningslov for journalistiske formål, kunst og litteratur er gode, så langt vi kan bedømme. I likhet med pressen, er akademia og vitenskapelig forskning underlagt strenge «bransjekrav» i form av forskningsetiske retningslinjer. Det er videre et lovfestet system for å håndtere alle avvik fra anerkjente forskningsetiske normer, jf. forskningsetikkloven 6. Til sammen 4 Dette er i tråd med unntaket som er foreslått i England, i Schedule 2 Part 5 i Data Protection Bill som er til behandling i House of Lords.

19 bidrar dette til å sikre personvernet også ved unntak for «akademiske ytringer» i tråd med vår fortolkning. Avslutningsvis ønsker De nasjonale forskningsetiske komiteene å bemerke at artikkel 85 i forordningen gjelder ytrings- og informasjonsfrihet. Dette er to separate konsepter, selv om de ofte opptrer sammen. I høringsnotatet er det bare ytringsfriheten som er omtalt, det samme gjelder overskriften til 3 i lovutkastet. For å unngå at man glemmer at informasjonsfriheten også er vernet, foreslår vi at overskriften viser til begge frihetene. Endringsforslaget innarbeidet i lovteksten: Overskriften kan for eksempel se slik ut: «3 Forholdet til ytrings- og informasjonsfriheten» De øvrige forslagene til denne delen av høringsnotatet gjelder forståelsen av begrepet «akademiske ytringer», og medfører ingen endringer i lovteksten. 4. Innspill til oversettelsen av forordningsteksten til norsk: Gjennomsiktighet: «Transparency» er gjennomgående oversatt til «gjennomsiktighet». Dette er etter vår mening et begrep som fungerer dårlig på norsk. Departementet bør vurdere å bruke norske begreper som passer til konteksten, for eksempel etterrettelighet, etterprøvbarhet, åpenhet, innsyn osv. Fortalepunkt 33: «recognised ethical standards for scientific research» er oversatt til «anerkjente etiske standarder for vitenskapelig forskning». Vi mener det er bedre å bruke begrepet «anerkjente forskningsetiske normer» som allerede er innarbeidet i Norge og som allerede er lovfestet, jf. forskningsetikkloven. Espen Engh direktør Dag Bruusgaard komiteleder NEM Jacob Hølen sekretariatsleder NEM Saksbehandler: seniorrådgiver Annette Birkeland