HELSE- OG OMSORGSDEPARTEMENTET Postboks 8011 Dep 0030 OSLO Deres referanse Vår referanse Dato 18/2194 18/00891-2/CDG 27.08.2018 Høringsuttalelse - Forslag til endringer i sprøyteromsordningen Vi viser til Helse- og omsorgsdepartementets høringsbrev datert 28. mai 2018 vedrørende forslag til endringer i sprøyteromsordningen. 1. Kort om forslaget om endring av sprøyteromsordningen Forslaget innebærer at andre narkotiske stoffer enn heroin skal kunne inntas i sprøyterom. Det er også foreslått at personalet i sprøyterommet skal kunne gi opplæring i overgang fra injisering til mer skånsom bruk og at brukerne skal kunne prøve mer skånsomme inntaksmåter i sprøyterommet. Til slutt foreslås det å endre begrepsbruken fra «sprøyterom» og «sprøyteromsordningen» til «brukerrom» og «brukerromsordningen». 2. Avgrensning og oppsummering av Datatilsynets høringsuttalelse Gjeldende sprøyteromslov gir hjemmel til å etablere et helseregister i forbindelse med sprøyteromsordningen. Denne hjemmelen videreføres i forslag til brukerromslov 5, med utdypende regler i forslag til brukerromsforskrift 8 og 9. Datatilsynets høringsuttalelse er begrenset til forhold knyttet til behandling av helseopplysninger i et slikt register. Høringsuttalelsen gjelder dermed ikke for behandling av helseopplysninger i forbindelse med journalføring etter reglene i helsepersonelloven. Datatilsynets hovedinnvending mot lovforslaget er at samtykke fra brukerne ikke kan være rettslig grunnlag for behandling av helseopplysninger i et register over brukere av brukerrommet (heretter kalt «brukerromsregister»). Årsaken er at registrering i registeret er en forutsetning for å kunne benytte seg av brukerrommet. Det innebærer at et samtykke ikke er frivillig avgitt fra brukeren. Behandling av helseopplysninger i brukerromsregisteret krever derfor annet rettslig grunnlag enn samtykke. Videre mener Datatilsynet at brukerromsloven må ha bestemmelser om den behandlingsansvarliges informasjonsplikt, de registrertes rettigheter og en tydelig bestemmelse om sletteplikt. Postadresse: Kontoradresse: Telefon: Telefaks: Org.nr: Hjemmeside: Postboks 458 Sentrum Tollbugt 3 22 39 69 00 22 42 23 50 974 761 467 www.datatilsynet.no 0105 OSLO
Til slutt mener vi at registering i brukerromsregisteret vil medføre risiko for brukernes rettigheter og friheter. Helse- og omsorgsdepartementet må vurdere om det er sannsynlig at det er høy risiko for brukernes rettigheter og friheter. Dersom det er tilfellet, må det gjøres en vurdering av personvernkonsekvensene etter personvernforordningen art. 35. Våre standpunkter utdypes nedenfor i punkt 4 til 9. 3. Kort om personvernforordningen og ny personopplysningslov Personopplysningsloven (lov av 15. juni 2018 nr. 38) trådte i kraft 20. juli 2018. Loven gjennomfører EUs personvernforordning 1 i norsk rett. Samtidig som personopplysningsloven trådte i kraft, ble det også gjort endringer i en rekke andre lover, inkludert i helseregisterloven. Vi bruker hovedsakelig personvernforordningens bestemmelser i høringsuttalelsen. 4. Rettslig grunnlag for behandling av helseopplysninger i et brukerromsregister Behandlingen av personopplysninger må være lovlig, jf. personvernforordningen art. 5 nr. 1. Lovlig behandling forutsetter at det finnes et rettslig grunnlag for behandling av personopplysninger. I lovforslaget 5 og forslag til forskrift 8 fremkommer det registrering i registeret skal ha rettslig grunnlag i form av samtykke fra brukeren. 2 Samtykke er et av de rettslige grunnlagene som listes opp i personvernforordningen art. 6. Vilkårene for samtykke fremkommer i personvernforordningen art. 7, og er utdypet i fortalen punkt 32. Personvernforordningen krever at et samtykke skal gis i en form som viser at den registrerte på en frivillig, spesifikk, informert og utvetydig måte gir sitt samtykke til behandling av sine personopplysninger. Et samtykke skal når som helst kunne trekkes tilbake, og det skal være like enkelt å trekke det tilbake som det var å gi det. Registrering i et brukerromsregister innebærer at det registreres helseopplysninger om brukeren. Helseopplysninger er en særlig kategori av personopplysninger. Behandling av slike opplysninger må i tillegg til å ha et rettslig grunnlag etter art. 6, også oppfylle ett av unntakene i personvernforordningen art. 9 nr. 2. Personvernforordningen art. 9 nr. bokstav a krever at samtykke til behandling av helseopplysninger skal være uttrykkelig. Det innebærer at det ikke skal være noen tvil om at 1 Forordning 2016/679 om vern av fysiske personer i forbindelse med behandling av personopplysninger og om fri utveksling av slike opplysninger. 2 Basert på forarbeider til gjeldende sprøyteromslov, kan det synes som om kravet om samtykke for registrering er begrunnet vilkåret i helseregisterloven 6 andre ledd om at behandling av helseopplysninger krever samtykke eller hjemmel i lov. Vi gjør derfor for ordens skyld oppmerksom på at helseregisterloven 6 ble endret da ny personopplysningslov trådte i kraft xx. Juli 2018, og at 6 andre ledd da ble fjernet. 2
den registrerte samtykker til behandlingen av helseopplysningene. Kravet kan for eksempel oppnås ved skriftlig samtykke. Bruk av rusmidler i brukerrommet er straffritt og brukerne tilbys helsehjelp, for eksempel i forbindelse med overdoser og sårstell. Brukerne kan også få veiledning om mer skånsomme måter for inntak av rusmidler. Det er derfor svært gunstig at brukerne benytter seg av tilbudet om brukerrom, og den enkelte bruker kan derfor føle seg presset til å samtykke til registrering i brukerromsregisteret. Når samtykke til registrering i brukerromsregisteret er en forutsetning for å få benytte seg av brukerrommet, jf. brukerromsforskriften 1, vil ikke samtykket være frivillig. Frivillighet er et vilkår for at et samtykke skal være gyldig, og et samtykke avgitt under slike omstendigheter er dermed ugyldig. Registrering av brukerne i brukerromsregisteret må derfor skje med hjemmel i et annet rettslig grunnlag enn samtykke. Et alternativ kan være art. 6 nr. 1 bokstav e jf. art. 9 nr. 2 bokstav g. Artiklene krever også at det foreligger hjemmel i nasjonal rett. Art. 9 nr. 2 bokstav g krever at det i nasjonal rett må vurderes om behandlingen av personopplysninger er «nødvendig» og forholdsmessig. Vi viser i denne anledning til veilederen «Assessing the necessity of measures that limit the fundamental right to the protection of personal data: A Toolkit» 3, som er utarbeidet av European Data Protection Supervisor (EDPS). Til slutt viser vi til vår høringsuttalelse til forslag til permanent sprøyteromslov, datert 12.12.2008. Også i den høringsuttalelsen pekte vi på utfordringene med frivillighet når samtykke til registrering er en forutsetning for å benytte sprøyterommet. I uttalelsen peker vi på at registreringen bør ha lovhjemmel, og vi vurderer hvordan brukernes autonomi kan ivaretas. Høringsuttalelsen er registrert på departementets sak 200804522 (vår referanse 08/01769-2). 5. Rettferdig og åpen behandling av personopplysninger krever at det gis informasjon til brukerne Personopplysninger skal behandles på en rettferdig og åpen måte, jf. personopplysningsloven art. 5 nr. 1 bokstav a. Det forutsetter blant annet at de registrerte får informasjon om at behandles personopplysninger om dem, hvorfor opplysningene behandles og hvordan de behandles. Plikten til å gi informasjon er nærmere angitt i personvernforordningen art. 12 til 14. Høringsnotatet omtaler ikke hvordan brukerne gis informasjon om behandling av helseopplysninger i brukerromsregisteret. Notatet omtaler heller ikke hvordan informasjonsplikten skal ivaretas i fremtiden. Det gis ingen regler om informasjon i forslaget til brukerromslov eller forslaget til brukerromsforskrift, og det er ingen henvisninger til personvernforordningens regler om informasjon til de registrerte. 3 https://edps.europa.eu/sites/edp/files/publication/17-04-11_necessity_toolkit_en_0.pdf 3
Datatilsynet mener at brukerromsloven enten må ha egne regler om hvordan informasjonsplikten skal ivaretas, eller i det minste henvise til reglene om informasjon i personvernforordningen art. 12 til 14. 6. Om formålsbestemmelsen i brukerromsforskriften 9 Personopplysninger skal samles inn for spesifikke, uttrykkelig angitte og berettigede formål og ikke viderebehandles på en måte som er uforenlig med disse formålene. Dette følger av personvernforordningen art. 5 nr. 1 bokstav b. Formålsangivelse setter blant annet rammer for videre bruk og hvilke personopplysninger som kan behandles. Datatilsynet har ingen innvendinger mot selve formålsangivelsen i brukerromsforskriften 9. Vi har imidlertid kommentarer til begrepsbruken i 9 siste ledd, siste setning. I forskriften 9 siste ledd, siste setning fremkommer det at når opplysninger fra registeret skal brukes i kommunens planlegging, tilrettelegging og drift av brukerromsordningen, skal personopplysningene behandles i avidentifisert form. Avidentifiserte helseopplysninger var et begrep som fantes i helseregisterloven av 2001. Begrepet ble tolket slik at opplysningene i et datasett skulle være anonyme, men det kunne likevel eksistere en koblingsnøkkel eller lignende som gjorde det mulig gjenfinne enkeltpersoner i datasettet. Begrepet avidentifiserte helseopplysninger ble ikke videreført i helseregisterloven av 2014. I stedet ble begrepet indirekte identifiserbare helseopplysninger innført. Det er helseopplysninger hvor navn, fødselsnummer og andre personentydige kjennetegn er fjernet, men hvor opplysningene likevel kan knyttes til en enkeltperson. Enkeltpersonen er dermed identifiserbar, og det behandles derfor personopplysninger selv om personen kun er indirekte identifiserbar, jf. personvernforordningen art. 4 nr.1. Datatilsynet mener det er uheldig å bruke begrepet «avidentifisert form» ettersom begrepet ikke eksisterer i lovgivningen. Datatilsynet antar at det for de formål som er nevnt, er tilstrekkelig å bruke anonyme opplysninger. Anonyme opplysninger er opplysninger som ikke kan knyttes til en identifisert eller identifiserbar fysisk person, eller personopplysninger som er blitt anonymisert på en slik måte at den registrerte ikke lenger kan identifiseres, se personvernforordningens fortalepunkt 26. 7. Om lagringsbegrensning i brukerromsregisteret Personopplysninger skal lagres slik at det ikke er mulig å identifisere de registrerte i lengre perioder enn det som er nødvendig for formålene som personopplysningene behandles for, jf. personvernforordningen art. 5 nr. 1 bokstav e. 4
På høringsnotatet s. 3 fremkommer det at brukerne avregistreres etter ett års fravær fra sprøyterommet. Datatilsynet legger til grunn at avregistrering innebærer at brukerne slettes fra registeret. Vi mener at sletteregelen må fremkomme tydelig i brukerromsloven eller brukerromsforskriften, slik at det ikke er noen tvil om hvor lenge helseopplysningene kan behandles. 8. Brukernes rettigheter som registrerte i brukerromsregisterte De registrerte, brukerne, har en rekke rettigheter som fremkommer i personvernforordningen art. 15-22, for eksempel rett til innsyn, retting og sletting. Rettighetene er ikke nevnt i hverken høringsnotatet, forslaget til brukerromslov eller forslaget til brukerromsforskrift. Datatilsynet anbefaler at brukerromsloven henviser til personvernforordningens bestemmelser om rettigheter for de registrerte. Vi minner samtidig om at den behandlingsansvarlige plikter å legge til rette for at de registrerte kan ivareta sine rettigheter, jf. personvernforordningen art. 12 nr. 2. 9. Er det behov for å gjøre vurdering av personvernkonsekvensene ved registrering i brukerromsregisteret? Personvernforordningen art. 35 nr. 1 slår fast at det må gjøres vurdering av personvernkonsekvensene dersom det er sannsynlig at behandlingen av personopplysninger medfører høy risiko for fysiske personers rettigheter og friheter. I sannsynlighetsvurderingen skal det tas hensyn til behandlingens art, omfang, formål og sammenhengen den utføres i. Opplysningene som kan registreres i brukerromsregisteret er ikke i seg selv av særlig inngripende og sensitiv karakter. Men det forhold at en person oppfyller vilkårene for å kunne benytte seg av brukerrommet, altså at brukeren har langvarig narkotikaavhengighet og en helseskadelig injeksjonspraksis, må imidlertid sies å være opplysninger av særlig inngripende og sensitiv karakter. Brukerne som oppfyller vilkårene for å benytte brukerrommet må kunne sies å utgjøre en særlig sårbar gruppe i samfunnet, og de er i risikogruppen for en rekke alvorlige sykdommer, som for eksempel hepatitt C. Registrering av denne typen opplysninger vil kunne ha innvirkning på brukernes personlige integritet og øke risikoen for diskriminering og usaklig forskjellsbehandling. Registrering i brukerregisteret vil derfor kunne medføre en risiko for brukernes rettigheter og friheter, jf. personvernforordningen art. 35 nr. 1. Datatilsynet mener at Helse- og omsorgsdepartementet må vurdere om det er «sannsynlig» at registreringen vil medføre «høy risiko» for brukernes rettigheter og friheter, jf. personvernforordningen art. 35 nr. 1. Dersom det er tilfellet, må departementet gjøre en vurdering av personvernkonsekvensene. 5
10. Avsluttende merknader Vi stiller oss til rådighet dersom dere ønsker utfyllende informasjon eller har spørsmål til vårt høringssvar. Dere kan i så fall ta kontakt med Christine Dalebø Gjerdevik på telefon 22 39 69 49. Med vennlig hilsen Bjørn Erik Thon direktør Christine Dalebø Gjerdevik rådgiver Kopi: Kommunal- og moderniseringsdepartementet v/statsforvaltningsavdelingen Postboks 8112 Dep, 0032 OSLO 6