Avslag på søknad om konsesjon til å behandle personopplysninger - Forskning - Barn med påførte dødelige skader - hva gjør helsevesenet og rettsvesenet

Transkript

1 Advokatfirmaet Hjort DA Postboks 471 Sentrum 0105 OSLO Deres referanse Vår referanse (bes oppgitt ved svar) Dato M / /ID. mars 2011 Avslag på søknad om konsesjon til å behandle personopplysninger - Forskning - Barn med påførte dødelige skader - hva gjør helsevesenet og rettsvesenet Under Datatilsynets tilsyn med Rettsmedisinsk institutt (RMI) 12. november ble det avdekket at RMI behandlet sensitive personopplysninger i forbindelse med forskningsprosjektet Barn med påførte dødelige skader hva gjør helsevesenet og rettsvesenet uten at det var hentet inn konsesjon. Det var Datatilsynet som under kontrollen påpekte overfor RMI at prosjektet var underlagt krav om konsesjon i henhold til personopplysningsloven 33. Konsesjon er en forhåndstillatelse som skal hentes inn før en behandling tar til. Tilsynet har i enkelte tilfeller allikevel vurdert konsesjonssøknader for prosjektet som har vært igangsatt. Datatilsynet har da sett hen hvordan saken ville stilt seg dersom det hadde vært søkt i rett tid. Datatilsynet kan derfor gi konsesjon med tilbakevirkende kraft, men det forutsettes at de øvrige kravene i personopplysningsloven har vært oppfylt ved behandlingen. Datatilsynet anbefalte at RMI søkte om konsesjon for prosjektet. Søknaden ble oversendt av Advokatfirmaet Hjort 13. januar I. Søknad om konsesjon Forskningsprosjektet Søknaden gjelder innsamling og behandling av sensitive personopplysninger i forbindelse med et prosjekt som gjennomføres som hovedoppgave for en medisinstudent. Temaet for oppgaven er fatal barnemishandling. Rundt 87 saker fra 1979 til 2008 er blitt undersøkt for å studere hvilket utfall sakene fikk i rettsapparatet, fordelingen mellom alder, kjønn, etnisitet og relasjon mellom offer og gjerningsperson, samt om det forelå mistanke om barnemishandling på forhånd. Videre ønsker studenten å sammenligne behandlingen barnesakene får i rettsapparatet med den behandlingen tilsvarende saker med voksne drepte får. Prosjektet er både kvantitativt og kvalitativt. 1 Kontrollen for øvrig er behandlet med tilsynets saksnummer 10/01114 Postadresse: Kontoradresse: Telefon: Telefaks: Org.nr: Hjemmeside: Postboks 8177 Dep Tollbugt OSLO

2 Formålet med oppgaven er å bidra til økt kunnskap om fatal barnemishandling for å kunne drive forebyggende arbeid og styrke barns rettssikkerhet. Det har blitt innhentet rettsmedisinske obduksjonsrapporter fra Sørøst-Norge som omhandler barn med påførte dødelige skader. De rettsmedisinske rapportene inneholder en beskrivelse av selve obduksjonen med prøveresultater, samt underlagsmateriale som har blitt presentert for obdusenten; dokumenter fra politiet og i noen tilfeller aktuelle utskrifter av pasientjournaler. Videre har det blitt innhentet informasjon fra politidistrikter om utfallet av politiets etterforskning og sakens utfall. Grunnlagsmaterialet inneholder opplysninger om levende personer som har vært mistenkt, siktet, tiltalt og eventuelt dømt for å ha påført barn dødelige skader. Nærmere om innhentede tillatelser Rådet for taushetsplikt og forskning og Riksadvokaten har gitt dispensasjon fra taushetsplikt for tilgang til obduksjonsrapportene. Regional komité for medisinsk og helsefaglig forskningsetikk sør-øst (REK)har gitt dispensasjon fra taushetsplikt for pasientjournalopplysninger som ligger i obduksjonsrapportene. Datatilsynet kan imidlertid ikke se at det foreligger tillatelse for innhenting av opplysninger om utfallet av politiets etterforskning og sakens utfall. Datatilsynet kan heller ikke se at det i foreliggende søknad er søkt om konsesjon for behandling opplysninger om hvilken behandling saker med voksne drepte får i rettsapparatet. Det vises til at et av formålene med prosjektet er en sammenligning mellom behandlingen av drepte barn og voksne i rettsapparatet. Nærmere om hvorvidt det foreligger konsesjonsplikt for prosjektet Prosjektet er å anse som samfunnsfaglig forskning, jf. REKs avgjørelse av 13. oktober Dette innebærer at personopplysningsloven gjelder ved behandling av personopplysninger i prosjektet. I medhold av personopplysningslovens bestemmelser foreligger det konsesjonsplikt når det behandles sensitive personopplysninger, herunder opplysninger om at en person har vært mistenkt, siktet, tiltalt eller dømt for straffbar handling, jf. personopplysningsloven 33 jf. 9, jf. 8, jf. 2 nr. 8. For at konsesjon skal kunne gis, må behandlingen ha et rettslig grunnlag, jf. 11, jf. 8 og 9. Det følger av Ot.prp. nr. 92 ( ) side 128 at bakgrunnen for bestemmelsen om konsesjonsplikt er at behandling av følsomme opplysninger gjennomgående medfører større risiko for personvernet enn andre typer opplysninger. Videre fremgår det at behovet for forhåndskontroll med behandling av personopplysninger er et av hovedhensynene bak konsesjonsinstituttet. Plikten til å søke konsesjon etter personopplysningsloven innebærer etter dette at Datatilsynet er gitt kompetanse til å forhåndsgodkjenne en behandling av personopplysninger. Den behandlingsansvarlige må innhente forhåndstillatelse fra Datatilsynet før en behandling av personopplysninger igangsettes. 2

3 Det omsøkte prosjektet er å anse som et samfunnsvitenskapelig forskningsprosjekt som innebærer behandling av sensitive personopplysninger etter personopplysningsloven 2 nr. 8 bokstav b og c. Dette fordi prosjektet innebærer en gjennomgang av obduksjonsrapporter som inneholder helseopplysninger og fordi det er innehentet opplysninger fra politidistriktene som inneholder opplysninger som en person har vært mistenkt, siktet, tiltalt eller dømt for straffbar handling. Datatilsynet konkluderer med at det kreves konsesjon for gjennomføring av prosjektet, jf. personopplysningsloven 33 første ledd. Vurdering av rettslig grunnlag I henhold til personopplysningsloven 11 kan sensitive personopplysninger bare behandles elektronisk når dette er tillatt etter personopplysningsloven 8 og Innhenting av samtykke Det er ikke innhentet samtykke fra de registrerte. Siden opplysningene allerede er innhentet, blir det ikke relevant å drøfte om samtykke er et mulig rettslig grunnlag i denne saken. Tilsynet finner likevel grunn til å komme med noen merknader til instituttets begrunnelse for hvorfor samtykke ikke er innhentet. Hovedregelen for innsamling av sensitive personopplysninger er at samtykke fra den registrerte vurderes før andre hjemmelsgrunnlag. Tilsynet vil bemerke at det faktum at ikke alle som blir spurt om å stille opp i et forskningsprosjekt takker ja, ikke er et argument som tilsier at samtykkeinstituttet omgås ved å registrere alle uten å be om samtykke. Tvert i mot er retten til å si nei et av personopplysningslovens grunnfundamenter. Videre stiller vi spørsmål ved RMIs erfaring om at samtykke for denne type saker vil være en stor belastning for den enkelte. Et samtykke vil således i seg selv utgjøre en ulempe for den registrerte. Tilsynet savner nærmere dokumentasjon på at samtykke i seg selv vil være en ulempe. Datatilsynet vil vise til en relevant avgjørelse fra De nasjonale forskningsetiske komiteers (NEM) i klagesak av 8. oktober 2009 Partnerdrap i Norge En kartlegging av risikofaktorer og rettslige utfall. Saken gjaldt en doktorgradskandidat som ønsket å gjennomføre et prosjekt med kvantitativ tilnærming som har som formål å kartlegge risikofaktorer og rettslige utfall for partnerdrap i Norge. Dataene var tenkt innhentet fra rettspsykiatriske vurderinger av de drapsdømte, fra rettskraftige dommer og fra KRIPOS arkiv over drap/selvdrap. Det var ikke planlagt å innhente samtykke og resultatet skulle publiseres i aggregert form, på gruppenivå. Målet var at kunnskapen som ble generert, skulle kunne brukes i forebyggende arbeid. Søker i partnerdrapsaken oppga flere grunner til at det ble ansett som forsvarlig å ikke innhente samtykke, både etiske hensyn til domfelt selv og nødvendigheten av å unngå skjevhet i utvalget. Søker mente videre at den samfunnsnytten siden av prosjektet oppveier den ulempen det er at samtykkekompetente personer ikke bes om innsyn. Det ble videre vist til at det ikke foreligger god kunnskap om norske forhold når det gjelder partnerdrap, og at denne kunnskapen er etterspurt fra politisk hold. Videre ble det vist til at ny kontakt for mange vil oppleves som en belastning og kan reaktivere tidligere traume. 3

4 Datatilsynet finner at de vurderinger NEM har gjort i forhold til innhenting av samtykke har relevans for denne saken, da det er nærliggende å sammenligne både sakskompleks, argumentasjonen mot innhenting av samtykke og type opplysninger som skal samles inn og om hvem. I prosjektgodkjenningen til REK viser RMI til at samtykke vil være en ulempe for den registrerte og kan medføre at en tilbakelagt prosess blir rippet opp i. Samtidig sier RMI at et slikt prosjekt kan oppleves positivt for de som er med. NEM vurderte om det var etisk forsvarlig å innhente samtykke i partnerdrapsstudiesaken. Der ble det anført at domfelte vil kunne oppleve det som en psykisk belastning å få en forespørsel om innsyn i sakspapirer. Nem viser på side 5 til at det aldri er mulig å forutsi hvordan ulike mennesker vil reagere i en bestemt situasjon. Som forsker må man derfor være forberedt på både positive og negative reaksjoner. NEM viser til at ut fra annen forskning om traumatiske hendelser i menneskers liv, vet vi at mange kan oppleve deltakelse som positivt, enten fordi de selv opplever å få formidlet eller delt noe vesentlig gjennom intervju, eller fordi de håper å kunne bidra til forebyggelse. NEM trekker videre frem at det at en forespørsel om innsyn i saksdokumenter også skulle kunne bevirke en reell re-traumatisering, framstår som mindre sannsynlig, men kan ikke utelukkes. Dette vil imidlertid være en problemstilling ved all forskning som dreier seg om fortidige traumatiske hendelser i menneskers liv. Den vanligste måten å møte denne utfordringen på, er å stille med beredskap og et tilbud om oppfølging hvis dette skulle være ønskelig. I tillegg er det et generelt forskningsetisk kav at eventuelle belastninger den enkelte påføres, står i forhold til påregnelige fordeler for deltakerne eller andre mennesker (jf. 22 i helseforskningsloven). En mulig reaktivering av vonde minner, kan derfor ikke være et argument mot å la samtykkekompetente mennesker ta stilling til om forskere skal få innsyn i de sensitive opplysningene som er knyttet til disse minnene. (vår understreking) Vurderingen i det følgende er om det finnes et annet rettslig grunnlag enn samtykke. Det er naturlig å se hen til personopplysningsloven 8 bokstav f og 9 bokstav h, slik søker har anført. Alternative rettslig grunnlag er ikke funnet relevant i denne saken. 2. Nødvendighetsalternativet i personopplysningsloven 9 bokstav h, jf 8 bokstav f I vurderingen av om 9 bokstav h, jf. 8 bokstav f er oppfylt, er det et grunnvilkår at behandlingen må være nødvendig. Det er ikke tilstrekkelig at samfunnets interesse overstiger personvernulempene for den enkelte, det skal klart overstige ulempene for den enkelte. I vurderingen av om forskningsprosjektet er nødvendig for å historiske, statistiske eller vitenskapelig formål, og samfunnets interesse i at behandlingen finner sted klart overstiger ulempende den kan medføre for den enkelte, er ikke bakgrunnen for hvorfor samtykke ikke er innhentet relevant. Vilkårene i 9 bokstav h skal være oppfylt på selvstendig grunnlag, og skal ikke reparere at et samtykke er unnlatt innhentet. Tilsynet vil i det følgende se hen til søkers anførsler og vurdere de momenter vi finner relevant i avveiingen mellom samfunnets interesse i at behandlingen finner sted opp mot personvernet. 2.1 Opplysningene som behandles I tillegg til at obduksjonsrapportene inneholder svært detaljerte og sensitive opplysninger som kan omfatte tredjepersoner, vil Datatilsynet bemerke at opplysningene som innsamles fra 4

5 politidistriktene er mer sensitive enn det som det gis inntrykk av i utfyllende skjema fra RMI til REK. I skjemaet til REK vises det til at følgende opplysninger ønskes registrert: Kjønn, alder, etnisitet, type skade, drapsmetode, relasjon mellom offer og gjerningsmann, resultat av behandling hos påtalemyndighet/rettsapparat og registrering av eventuell tidligere relevant kontakt med helsevesenet. I skjema som RMI sendte politidistriktene kommer det frem at kategorien som er opplyst for REK bare er hovedgrupper, som har flere lag med undergrupper. For eksempel inneholder kategorien Resultat i rettsapparatet fire undergrupper, henlagt, uoppklart, tiltale, dom. Kategorien henlagt inneholder igjen grupperingene nei, ja, manglende opplysninger om gjerningsperson, manglende bevis, manglende saksbehandlingskapasitet, siktede ikke strafferettslig tilregnelig. I tillegg inneholder spørreskjemaet til politidistriktene flere fritekstfelt, slik at politiet selv kan fylle inn informasjon de selv anser relevant. Dette gjelder for eksempel under tidligere kontakt med helsevesenet og tiltale. 2.2 Sakene er allment kjent RMI anfører at siden sakene allerede i stor grad er allment kjent, vil ikke en offentliggjøring av studiet i stor grad medføre en ytterligere belastning for de registrerte. Derimot mener søker at studiet vil kunne oppfattes som positivt for de pårørende. Datatilsynet vil vise til NEMs avgjørelse i partnerdrapssaken, side 6: NEM vil også framholde at vonde minner like gjerne kan vekkes og psykiske belastninger påføres ved at de domfelte senere leser om denne studien og forstår at de selv er inkludert i den. Partnerdrap er en svært alvorlig hendelse som er omfattet av stor offentlig interesse, og NEM tar det derfor for gitt at resultater fra denne studien vil bli allment kjent, og at det vil framgå hvilke grupper som inngår, og hva slags kildemateriale som er brukt. Slik NEM ser det, er det sannsynlig at den psykiske belastningen for de domfelte ved å få vite at en forsker har hatt tilgang til svært sensitive opplysninger om eget liv, uten at de er gitt anledning til å samtykke eller reserverer seg, vil være større belastning enn belastningen ved å bli spurt på forhånd. (vår understreking) Datatilsynet legger til grunn at det vil bli kjent hvor i landet opplysningene er hentet fra, og at det vil fremkomme at prosjektet er geografisk avgrenset til Sørøst-Norge. Datatilsynet finner at det er noe selvmotsigende i argumentasjonen til konsesjonssøker, at den registrerte verken skal samtykke eller få informasjon fordi dette er så belastende, samtidig som det vises til at målet er å få trykt artikler og at enkelte vil gjenkjenne saken sin media fordi det dreier seg om så få saker. Datatilsynet vil dessuten presisere at prosjektet ikke bare inneholder opplysninger om saker som har vært behandlet i rettsapparatet og i noen grad er offentlige, men også opplysninger om personer som har vært mistenkt, og hvor det ikke er tatt ut tiltale. Når et barn dør er det nærliggende å se hen til nærmeste familie, og i praksis vil det ofte være disse som blir mistenkt i en sak hvor det er uklarheter knyttet til dødsfallet. Argumentet om at opplysningene er allment kjent kan ikke benyttes for de tilfeller hvor det for eksempel har vært mistenkte i sak om barnedødsfall, men hvor saken henlegges fordi det ikke foreligger grunnlag for å ta ut tiltale. 5

6 2.3 Medieinteressen Vi viser til at den offentlige interessen knyttet til barnedrap er stor, og NEMs avgjørelse i partnerdrapsaken skulle inneholde et større materiale (ca. 200 saker) enn vår sak. Det er stor grunn til å tro at et prosjekt som dette vil innebære stor medieinteresse. Ett av målene er sågar å få dette publisert i et internasjonalt eller norsk medisinsk tidsskrift. Med tanke på det fokus som har vært rundt slike saker, mener tilsynet det er grunn til å tro at også nyhetsaviser vil fatte interesse i saken. At de som er en del av studien først blir kjent med det gjennom media, uten verken å ha samtykket eller blitt informert, mener tilsynt er ekstra graverende. 2.4 Bruk av innsamlede opplysninger til nye formål Anførselen om at saken fra før av er allment kjent er ikke ensbetydende med at de samme opplysningene benyttes av noen andre og til helt andre formål enn det de ble innsamlet for i første omgang. For det første kan det i obduksjonsrapporten finnes sensitive opplysninger om både den døde og tredjepersoner som ikke er blitt meddelt direkte i åpen rett. Og selv om det skulle være delt i retten, kan det ikke automatisk legitimere at andre senere gis tilgang til sensitive opplysninger brukt til et helt annet formål. Dette trekker også NEM frem i partnerdrapsstudien, hvor det på side 9 sies: Opplysninger som er innhentet og videreformidlet i forbindelse med en straffesak kan vanskelig sies å være opplysninger som den som omhandles, frivillig har gjort alminnelig kjent (jf personopplysningsloven 9 bokstav d). NEM forutsetter derfor at den domfelte vil ha en vedvarende interesse i å begrense andres tilgang til sensitive opplysninger om eget liv i størst mulig grad. Tilsynet støtter NEMs uttalelse. Opplysningene er avgitt til et konkret angitt formål, og tilliten til rettsvesenet og deres behandling av opplysninger er av stor betydning. 2.5 Tidsperspektivet Søker anfører at tiden som har gått vil utgjøre en slik ulempe for den registrerte at det kan begrunne et unntak fra samtykke. Selv om det vil kunne vekke til live vonde minner, er ikke noe så alvorlig som det å ha mistet et barn noe som glemmes over tid. RMI trekker selv frem at det kan oppleves som positivt at dette forskes på, og det kan ikke ses bort fra at de som har mistet et barn lang tid tilbake ønsker å bidra, også selv om det kan vekke til live vonde minner. 2.6 Tilsynets vurdering av oppgavens omfang og formål Søker anfører at samtykke kan unnlates innhentet på grunn av forskningsprosjektets samfunnsnytte. Tilsynet vil vise til at prosjektets samfunnsnytte i seg selv ikke er et argument for å unnlate samtykke. Samfunnsnytten er et selvstendig vilkår som skal være godtgjort av søker. Prosjektet samfunnsinteressen er derimot av betydning i avveiingen av de personvernulemper forskningsprosjektet kan medføre for den registrerte. Søker viser til at prosjektet vil være et viktig grunnlagsmateriale for forebygging av barnemishandling og vil være grunnlag for videre utvikling av helsevesenets og rettsvesenets arbeid på området. Datatilsynet finner at oppgaven har et godt formål. Samfunnsnytten og verdien av det søker ønsker å oppnå med forskningsprosjektet må veies opp mot personvernulempene for de registrerte. Datatilsynet kan ikke finne at søker har tilstrekkelig dokumentert samfunnsnytten av prosjektet. Det er anført at et samtykke vil forringe prosjektet, men det er i liten grad vist at behandlingen er nødvendig for vitenskapelige formål, og at samfunnets interesse klart overstiger ulempene. Vi er også usikre på om formålet og omfanget av oppgaven er egnet 6

7 gjennomført som en ettårig studentoppgave. Tilsynet betviler at et så omfattende forskningsprosjekt med til dels svært sensitive personopplysninger har den tyngden som er nødvendig for å veie opp for de klart negative personvernkonsekvensene denne anses å ha for den enkelte registrerte. NEMs avgjørelse i partnerdrapssaken støtter opp om at personvernulempen ved at prosjekter som dette er for stor til at de kan gjennomføres uten samtykke fra den registrerte. Til anførselen om at det i dag ikke eksisterer noe pålitelig register av skader hos barn, verken levende eller døde, vil vi vise til at det først og fremst påligger lovgiver å ta stilling til om det skal opprettes et slikt register og i hvilken form. 3. Innhenting av opplysninger fra politidistriktene om sakenes utfall Datatilsynet kan uansett ikke se at det foreligger hjemmel for innhenting av opplysninger fra politidistriktene som går ut over det som følger av obduksjonsrapporten. Tilsynet viser til at REK har gitt dispensasjon fra taushetsplikt for de opplysninger som følger av pasientjournal og Riksadvokaten og Rådet for taushetsplikt har gitt dispensasjon for tilgang til obduksjonsrapportene. Riksadvokaten samtykker i brev av 3. november 2009 at det gis innsyn i ca. 60 obduksjonsrapporter. I tråd med søknaden legger Riksadvokaten til grunn at de aktuelle rapporter allerede forefinnes ved instituttet, men for ordens skyld gis slikt samtykke som nevnt over for det tilfellet at det er behov for å innhente ytterligere opplysninger fra påtalemyndigheten. Datatilsynet forstår tillatelsen slik at det gis tillatelse til å innhente ytterligere opplysninger der obduksjonsrapporten ikke er fullstendig, ikke tillatelse til å innhente opplysninger som går ut over det som er naturlig å finne i en obduksjonsrapport. I oversendelsesbrevet til politidistriktene vises det til at søker har tillatelse fra REK, Riksadvokaten og Rådet for taushetsplikt og forskning til å gjennomgå utvalgte obduksjonsrapporter. Videre sies det at siden..ikke alle obduksjonsrapportene er fullstendige m.t.p. resultatet i rettsapparatet, ville vi sette stor pris på å få vite hvilket utfall sakene fikk ved politiets behandling. Så vidt Datatilsynet er kjent med, er ikke etterfølgende behandling av saken en del av obduksjonsrapporten. Dette finner tilsynet å ha støtte i fra brevet fra Rådet for taushetsplikt og forskning av 26. oktober 2009 hvor Rådet skriver til søker: Obduksjonsrapportene inneholder en beskrivelse av selve obduksjonen, prøveresultater, underlagsmateriale som har blitt presentert for obdusenten i form av dokumenter fra politiet og aktuelle utskrifter fra pasientjournaler. Datatilsynet kan ikke finne at RMI har hjemmel for å innhente ytterligere opplysninger ut over det som følger av obduksjonsrapporten, det vil si etterfølgende behandling i rettssystemet. Tilsynet mener at søker således har gått ut over de tillatelser som er gitt ved å be politidistriktene utlevere disse opplysningene, og har gitt et inntrykk overfor politidistriktene om at slik tillatelse forelå. For det første innebærer det behandling av sensitive opplysninger som også er konsesjonspliktig. For det andre er dette svært alvorlig, da det kan bety at enkelte politidistrikter har brutt taushetsplikten ved å utlevere sensitive personopplysninger uten hjemmel. 7

8 4. Hensynet til medisinstudenten Vi vil påpeke at mangel på samtykke fra de registrerte i denne saken fremstår som svært kritikkverdig. Videre vil tilsynet bemerke at hvis konsesjonsinstituttet skal fungere etter sin hensikt, er Datatilsynet avhengig av at forskningsprosjekter gjennomføres i tråd med regelverket. For tilsynet fremstår det som uakseptabelt at en så sentral og viktig virksomhet ikke har utarbeidet klare rutiner for innhenting av nødvendige tillatelser. RMIs manglende rutiner for innhenting av samtykke og nødvendige tillatelser får store konsekvenser for en medisinstudent som ikke får levere hovedoppgaven sin. Selv om studenten kan ha vært i god tro med tanke på at alle nødvendige tillatelser forelå, mangler prosjektet rettslig grunnlag og kan ikke gis konsesjon. Det vises til De nasjonale forskningsetiske komiteers avgjørelse i sak nr 2008/115 av 3. november 2008 som omhandlet etisk vurdering av delprosjekter under hoftebruddsprosjektet. Det var der innsamlet sensitive opplysninger uten rettslig grunnlag. Flere stipendiater måtte avbryte sitt arbeid, selv om NEM mente at de både hadde handlet i god tro og ved flere anledninger prøvd å forsikre seg om alt det formelle var i orden. NEM mente det var et viktig hensyn å ivareta stipendiatene, når de selv ikke var skyld i den kritikk som hovedprosjektet var gjort til gjenstand for. NEM var ikke i tvil om at hoftebruddprosjektets formål hadde vitenskapelig, medisinsk og samfunnsmessig verdi og potensiell betydning når det gjaldt å identifisere risikofaktorer for hoftenære brudd og finn fram til ulike tiltak som kan forebygge lårbensbrudd hos eldre. NEM forutsatte at databehandlingsansvarlig tok ansvar for å tilby de berørte nye stipendiatsperioder med tilfredsstillende forskningsstøtte og veiledning. I saken som nevnt hadde stipendiatene gjort det de kunne for å sikre seg at alle tillatelser var gitt. Selv om de ikke var å klandre, fant ikke NEM at prosjektene kunne fullføres. Datatilsynet finner ikke å kunne komme til et annet resultat i denne saken. II. Konklusjon Datatilsynet kan ikke se at vilkårene er til stede for å unnta fra hovedregelen om samtykke. Selv om prosjektet har et godt formål, mener tilsynet at det ikke finnes andre rettslige grunnlag for behandlingen enn samtykke. Vi vil presisere at dersom konsesjonssøknaden hadde blitt sendt Datatilsynet i riktig tid, ville konklusjonen vært den samme. Det er derfor ikke mulig å reparere den ulovlige innsamlingen og behandlingen i ettertid. III. Vedtak 1. Avslag på søknad om konsesjon Søknad om konsesjon til å behandle personopplysninger i forbindelse med forskningsprosjektet Barn med påførte dødelige skader avslås med hjemmel i personopplysningslovens 33, da grunnvilkårene i personopplysningsloven 11, jf. 8 og 9 ikke er oppfylt. 8

9 2. Pålegg om sletting Med hjemmel i 46 fjerde ledd pålegger Datatilsynet at de innsamlede opplysningene, og det materialet som er utarbeidet på bakgrunn av dette, slettes innen tre uker etter mottak av dette brev. Vedtakene kan påklages til Personvernnemnda i medhold av forvaltningslovens kapittel IV. Eventuell klage må sendes til Datatilsynet senest tre uker etter mottaket av dette brev. Datatilsynet unnlater forhåndsvarsel med hjemmel i forvaltningsloven 16 tredje ledd bokstav c. Det vises til at det ved flere anledning har vært kontakt mellom søker ved Advokatfirmaet Hjort, og Datatilsynet har mottatt en utfyllende konsesjonssøknad. Vi finner derfor at saken er tilstrekkelig opplyst og at søker er godt kjent med at det kommer et vedtak. Med hilsen Cecilie L. B. Rønnevik seniorrådgiver Veronica Mikkelborg rådgiver 9