Kompetansesenter for personvern og sikkerhet

Transkript

1 Sykehusene og internkontrollansvaret i legemiddelstudier Helge Grimnes Personvernrådgiver Kompetansesenter for personvern og sikkerhet Oslo universitetssykehus HF Kompetansesenter for personvern og sikkerhet

2 Kompetansesenter for personvern og sikkerhet Heidi Thorstensen (leder) Aksel Sogstad Anette Engum Helge Grimnes Kathrine Rogstad Personvernombud for: Oslo universitetssykehus HF Personvernombud for forskning ved: Sunnaas sykehus Diakonhjemmet sykehus Sykehuset Innlandet Lovisenberg sykehus Vestre Viken HF Revmatismesykehuset på Lillehammer Aleris Helse AS

3

4 Personvern - basics Personopplysninger er opplysninger og vurderinger som kan knyttes til enkeltperson. Det inkl. også avidentifiserte/kodede data All registrering av person-/helseopplysninger krever et hjemmelsgrunnlag Eks.: Samtykke, REK-godkjenning, tilråding fra Personvernombud, lov/forskrift Alle forsknings- og kvalitetsprosjekter forutsetter en forskningsansvarlig / databehandlingsansvarlig virksomhet Samtykke er hovedregel Pasienten har rettigheter ifht. egne opplysninger Rett til innsyn, retting og sletting Rettigheter skal opplyses om i samtykket Legemiddelstudier har et unntak: Rett til sletting bortfaller, jfr. Forskrift om klinisk utprøving av legemidler til mennesker

5 Personvernutfordringer i legemiddelstudier Små exit-muligheter for pasienten Opplysninger lagres ofte praksis på ubestemt tid Opplysningene kan ikke kreves slettet Potensielt mange personer kan, over tid, gis innsyn i journalen Opplysningene behandles worldwide, ofte i land med svakere personvernlover enn innen EU/EØS (for eksempel USA) Avidentifiserte opplysninger regnes ikke som personopplysninger Screening log Identifiserbar, uten samtykke Årsak til eksklusjon: psykotisk. Er det uproblematisk? Konsekvens: Informasjonen til pasienten må være tydelig på disse forholdene Screening log må være anonym for de som ikke har samtykket

6 Screening log hg m 02/04/ X Psykotisk Uproblematisk?

7 Intern kontroll = et virksomhetsansvar Intern kontroll er ingen overprøving av REK eller SLV Det er en oppfyllelse av forpliktelse i lov/forskrift Ved OUS har personvernombudet det utøvende samlede ansvar for informasjonssikkerhetsarbeidet i foretaket. Har lignende, men mer begrenset rolle ifbm. forskning ved noen andre foretak

8 Omfanget av internkontroll Skal være tilpasset virksomhetens størrelse, egenart, aktiviteter og risikoforhold Sykehuset avgjør hvordan virksomhetsansvaret skal ivaretas = common sense kan ikke overstyres av REK eller SLV Sykehuset har et helhetlig ansvar overfor pasientene Forskning utgjør en liten del av sykehusets daglige ansvar Øvrig personvernansvar er omfattende Mange aktører ønsker en bit av kaken

9 Helsepersonell, som ikke deltar i pasientens helsehjelp Kolleger Resepsjonspersonell Hvem har tilgang til opplysninger i journal? Helsepersonell Administrativt personell Studenter Sentralbordbetjening Forskriftsregulerte registre Presse Fødselsregister Kreftregisteret Reseptregisteret Dødsårsaksregisteret, m.fl Offentligheten NAV NPR Riksarkiv Den enkelte person -Føring og innsyn Forsikringsselskap Samtykke Kontrollkommisjon Tilsynsmyndigheter Riksrevisjon Pårørende Opplæring Forskning Legemiddelutprøving NPE Politi og domstol Naboer Familie Kriminelle

10 Konsekvens ved utlevering Må avsjekke Forsvarlighet i studien (medisinsk ansvarlig / forskningsleder) Tid og ressursbruk (avdelingsleder/klinikksjef) At pasienten gis informasjon ihht. til lovkrav (REK-malen) At innsamling og utlevering skjer forsvarlig og innen lovlige rammer At den eksterne har gyldig lovhjemmel til å motta opplysninger og materiale Dvs. godkjenning fra REK, SLV, evt. Helsedir. Er formål og gjennomføring i samsvar med det REK/SLV har godkjent?

11 Status nå Legemiddelstudier godkjent av SLV: Erfaring nå: Positiv når firma med kontor i Norge er ansvarlig Behovet for gjennomgang av samtykke er nå minimalt REKs mal for samtykke har forenklet samarbeidet med industrien Sikkerhet i utlevering av data er ofte OK Screening log er fortsatt en utfordring i noen studier

12 Når knirker det i samarbeidet med industrien? Studier som ikke faller innunder SLVs forskrift Ofte fragmenterte ansvarsforhold (hvem er forskningsansvarlig?) Pasientens rettigheter mangler i samtykket (rett til sletting) Uavgrenset varighet ( herfra til evigheten ) Sykehuset får en bestilling om deltagelse, ikke forespørsel Spørsmål fra sykehuset blir avfeid med Alle andre sykehus har sagt ja, hvorfor skal dere være så vanskelige!? Manglende forståelse for at sykehuset har begrenset med ressurser Manglende forståelse for at tilgjengelig materiale er begrenset Mangler interne samarbeidspartnere hos sykehuset Hvem skal praktisk stå for utleveringen? Mangelfullt grunnlag for innsyn i journal ved rekruttering Kort sagt: Dårlig planlegging fra den eksterne Kort sagt: Studier som kan gå på bekostning av annen aktivitet

13 Kan ting forenkles? Ja: Studier godkjent av SLV, med sponsor etablert i Norge Samtykke fra samtlige inkluderte REKs samtykkemal følges Utlevering elektronisk er kryptert Ikke behov for installasjon av egen programvare i sykehusnettet Screening log er anonym for ekskluderte pasienter OUS ser på mulige forenklinger

14 Takk for oppmerksomheten!