Endelig kontrollrapport

Saksnummer: 12/01084 Dato for kontroll: 13.-26 november 2012 11.desember 2012 Rapportdato: 19.03.2013 Endelig kontrollrapport Kontrolltema: Helseforskning, register for biologisk forskningsreservasjon Kontrollobjekter: Nasjonalt folkehelseinstitutt (FHI) Universitetssykehuset i Nord-Norge HF St. Olavs hospital HF Helse Bergen HF Utarbeidet av: Seniorrådgiver Eirin Oda Lauvset Rådgiver Marius Engh Pellerud 1 Innledning Datatilsynet gjennomførte i perioden 13. 26. november 2012 en brevlig kontroll med Universitetssykehuset i Nord-Norge Norge HF, St. Olavs hospital HF og Helse Bergen HF, og 11. desember 2012 en stedlig kontroll med Nasjonalt folkehelseinstitutt (heretter FHI). Formålet med kontrollen var å vurdere virksomhetenes behandling av person- og helseopplysninger i forbindelse med biologisk forskningsreservasjon etter de krav som helseforskningsloven og personopplysningsloven med forskrifter oppstiller. Gjennomføringen av kontrollene fant sted med hjemmel i helseforskningslovens 47 og personopplysningsloven 42, tredje ledd og 44 med forskrifter. Helseforskningsloven 28 fastslår en rett for alle pasienter til å få informasjon om at humant biologisk materiale i visse tilfeller kan benyttes til forskning. Pasientene er også gitt en rett til å reservere seg mot at humant biologisk materiale innhentet i helsetjenesten brukes til forskning. De pasienter som velger å bruke reservasjonsadgangen blir registrert i et register for biologisk forskningsreservasjon. Forskningsansvarlige er pliktige til å sørge for at det ikke brukes biologisk materiale fra personer som har reservert seg mot dette, og må vaske sine utvalg mot dette registeret. Datatilsynet ønsker å undersøke i hvilken grad reservasjonsadgangen blir brukt og i hvilken grad det er lagt til rette for at pasienter kan benytte seg av denne rettigheten. I tillegg ønsker Datatilsynet å undersøke i hvilken grad forskningsansvarlige oppfyller sin plikt til å sørge for at det ikke blir inkludert personer oppført i register for biologisk forskningsreservasjon i forskningsprosjekter. Datatilsynet har med denne bakgrunn valgt å gjennomføre kontroller med tre tilfeldig valgte helseforetak for å se hvordan pasienter blir informert om reservasjonsadgangen, samt en kontroll ved Folkehelseinstituttet som administrerer register for biologisk forskningsreservasjon for å se hvordan dette driftes. 1 av 14

I det følgende vil Datatilsynet beskrive de faktiske forhold som ble avdekket under kontrollen. Første del vil omhandle de brevlige kontrollene hos helseforetakene i den rekkefølgen svarene kom inn til Datatilsynet. Andre del vil omhandle den stedlige kontrollen hos FHI. Den foreløpige kontrollrapporten vil bli sendt ut til kontrollobjektene for kommentarer/bemerkninger. På bakgrunn av eventuelle bemerkninger vil det så bli utarbeidet en endelig kontrollrapport som danner grunnlag for Datatilsynets vurderinger og eventuelle pålegg. 2 Rapportens innhold 1 Innledning... 1 2 Rapportens innhold... 2 3 Brevlig kontroll av tre helseforetak... 3 3.1 Område for kontrollen... 4 3.2 Funn og avvik fra lovbestemte krav til behandling av personopplysninger... 5 3.2.1 Generelt fra besvarelsene... 5 3.2.2 Plikten til å informere pasientene... 6 3.2.3 Reservasjonsadgangen... 8 3.2.4 Ansvarsplassering informasjonsplikt... 10 3.2.5 Vask mot register for biologisk forskningsreservasjon... 10 4 Stedlig kontroll ved FHI... 11 4.1 Om kontrollen... 11 4.1.1 Agenda... 11 4.1.2 Område for kontrollen... 11 4.1.3 Tilstede fra FHI... 11 4.1.4 Tilstede fra Datatilsynet... 11 4.1.5 Tilstede fra Statens helsetilsyn... 11 4.2 Om register for biologisk forskningsreservasjon... 12 4.3 Funn og avvik fra lovbestemte krav til behandling av personopplysninger... 12 4.3.1 Krav i regelverket... 12 4.3.2 Funn... 12 4.3.3 Vurdering og konklusjon... 13 4.4 Andre bemerkninger... 13 2 av 14

3 Brevlig kontroll av tre helseforetak Datatilsynet sendte 13. november 2012 varsel om kontroll etter helseforskningsloven til tre helseforetak, nemlig Helse Bergen HF, Universitetssykehuset Nord-Norge HF og St. Olavs hospital HF. I varsel om kontroll viste Datatilsynet til følgende plikter etter helseforskningsloven: Helseforskningsloven 28 andre ledd fastslår at pasienten skal på forhånd ha blitt informert om at humant biologisk materiale i visse tilfeller kan benyttes til forskning og må ha fått adgang til å reservere seg mot forskning på humant biologisk materiale. Helseforskningsloven 28 tredje ledd fastslår at det skal opprettes et elektronisk register med oversikt over de pasienter som har reservert seg mot at deres biologiske materiale benyttes til forskning. Formålet med kontrollen var angitt å være en undersøke av i hvilken grad helseforetakene overholder sin plikt til å informere pasienter når biologisk materiale blir tatt vare på, i hvilken grad pasienter blir gitt muligheten til å reservere seg mot bruk av biologisk materiale i forskning, samt vurdere hvordan driften av registeret over personer som har reservert seg mot bruk av biologisk materiale for forskning fungerer. Datatilsynet ba om at virksomhetene innen 26. november 2012 oversendte følgende dokumentasjon: Beskrivelse av virksomhetens rutiner for å informere pasienter om at biologisk materiale i visse tilfeller vil bli lagret for bruk i forskning, Beskrivelse av hvem som er forpliktet av disse rutinene og hvordan disse personene er plassert i virksomhetens organisasjon, eksempelvis i form av organisasjonskart, Beskrivelse av hvordan virksomheten holder oversikt over pasienter som har reservert seg mot bruk av biologisk materiale for forskning, og hvordan informasjon om reservasjon blir rapportert til Folkehelseinstituttet, Beskrivelse av hvilke opplysninger som blir registrert når en pasient benytter seg av sin reservasjonsrett: -hvilke parametre/felt blir registrert, blir det rapportert hvilket helseforetak som rapporterer, etc. Oversikt over bruken av reservasjonsrett, gjerne i form av antall reserverte (NB! Ikke person- eller helseopplysninger). Samtlige helseforetak har besvarte henvendelsen innen fristen. Samtlige helseforetak har også påpekt at de tre siste punktene ikke er dokumentasjon som helseforetakene skal føre. Dette gjelder opplysninger registrert i register for biologisk forskningsreservasjon som FHI har ansvaret for. 3 av 14

Helseforetakene har helt rett i dette, og Datatilsynet beklager at disse punktene kom med i varselet. Dette skyldtes en for dårlig forundersøkelse av hvordan rapporteringen inn til registeret faktisk skjer. Som Helse Bergen HF riktig påpeker er helseforetakenes ansvar med hensyn til ivaretakelse av reservasjonsretten begrenset til to aspekter: 1. Informere pasienten om retten til å reservere seg mot at biologisk materiale bruker til forskning uten at det er gitt samtykke til dette 2. Sikre at det i forskningsprosjekt ikke inkluderes personer som er oppført i register for biologisk forskningsreservasjon. Pkt 2 hadde vært et naturlig oppfølgingsspørsmål fra vår side, men i vår kontroll fulgte vi ikke opp dette. Helse Bergen HF har imidlertid på eget initiativ gitt en beskrivelse av hvordan foretaket søker å sikre at det i forskningsprosjekt ikke inkluderes personer som er oppført i register for biologisk forskningsreservasjon. Vi ser i det følgende bort fra de tre siste punktene i varselet og vil beskrive de respektive helseforetakenes rutiner hva gjelder å sikre at informasjon om retten til å reservere seg mot at biologisk materiale blir brukt til forskning når pasientene, samt hvordan ansvaret for at informasjonen blir gitt er fordelt. 3.1 Område for kontrollen Følgende hadde fokus under kontrollen: Helseforetakenes plikt til å informere sine pasienter om at biologisk materiale innhentet og lagret i forbindelse med diagnostikk og behandling i visse tilfeller kan bli benyttet til forskning, jf. helseforskningsloven 28 første og andre ledd. Pasientene skal også ha fått adgang til å reservere seg mot forskning på humant biologisk materiale, jf. helseforskningsloven 28 andre ledd. For at dette skal være en reell rettighet må pasienten følgelig få informasjon om register for biologisk forskningsreservasjon og veiledning i hvordan man går frem for å bli registrert her. Plassering av ansvar for å sørge for at informasjonsplikten blir oppfylt. 4 av 14

3.2 Funn og avvik fra lovbestemte krav til behandling av personopplysninger 3.2.1 Generelt fra besvarelsene 3.2.1.1 Helse Bergen HF Helse Bergen HF opplyser at de har gjennomført følgende tiltak for å informere pasientene som deres rettigheter i forbindelse med forskning på biologisk materiale: Informasjon i innkallingsbrev til pasienter Informasjon på Helse Bergen HF sine nettsider Informasjonsplakater Alle disse dokumentene inneholder informasjon om at biologisk materiale blir innhentet, at det kan blir brukt til forskning uten pasientens samtykke, om retten til å reservere seg og hvordan pasienten går frem for å bli reservert. Ansvaret for å oppfylle pliktene er lagt til fagdirektør for forsknings- og utviklingsavdelingen. Selve implementeringen av informasjonstiltakene er lagt til Kompetansesenter for klinisk forskning. Rutine er implementert i internkontrollsystemet, samt kommunisert ut til ansatte. Ansvar for å sørge for at forskningsprosjekter vasker sine utvalg mot register for biologisk forskningsreservasjon er den enkelte prosjektleder. Det er lagt opp til at man gjennom revisjoner kan avdekke om vask faktisk er foretatt. 3.2.1.2 Universitetssykehuset Nord-Norge HF Universitetssykehuset Nord-Norge HF (heretter UNN HF) opplyser om at de pr. dags dato ikke informerer sine pasienter verken om at biologisk materiale innhentet og lagret i forbindelse med diagnostikk og behandling i visse tilfeller kan bli benyttet til forskning eller at de har adgang til å reservere seg mot slik forskning. Pasientene her får følgelig heller ikke informasjon om at det finne et register for biologisk forskningsreservasjon eller veiledning i hvordan man går frem for å bli registrert her. UNN HF har igangsatt arbeid med en pasientinformasjonsfolder som skal følge hvert innkallingsbrev. Denne informasjonsfolderen skal inneholde også informasjon om de ovenfor nevnte rettigheter. Den konkrete teksten fulgte som vedlegg til UNN HFs svarbrev. Teksten inneholder informasjon om at biologisk materiale blir innhentet, at det kan blir brukt til forskning uten pasientens samtykke, om retten til å reservere seg og hvordan pasienten går frem for å bli reservert. UNN HF har ikke gitt noen opplysninger om hvordan de har plassert ansvaret for å sørge for at informasjonsplikten blir oppfylt, men henvendelsen fra Datatilsynet ble besvart av Seksjonsleder /biobankansvarlig Laboratoriemedisin. 5 av 14

3.2.1.3 St. Olavs Hospital HF St. Olavs Hospital HF opplyser at de har gjennomført følgende tiltak for å informere pasientene som deres rettigheter i forbindelse med forskning på biologisk materiale: Informasjonsbrosjyre som distribueres til alle lokasjoner hvor pasientene oppholder seg innad på sykehuset Informasjon på St. Olavs hospital HF sine nettsider Brosjyren inneholder informasjon om at biologisk materiale kan bli innhentet, at materialet kan blir brukt til forskning uten pasientens samtykke, om retten til å reservere seg og hvordan pasienten går frem for å bli reservert. Informasjonen på nettstedet er ikke så lett å finne, og her informeres det dessuten bare kort om at det finnes et register for biologisk forskningsreservasjon. St. Olavs hospital HF opplyser om at det er vurdert å legge ved FHI sitt informasjonsskriv om register for biologisk forskningsreservasjon i innkallingsbrev som går til alle pasienter, men at man hittil har konkludert med at dette ikke er hensiktsmessig fordi pasientene allerede mottar en stor mengde papir. St. Olavs hospital HF mener at plakater om reservasjonsretten på sengeposter, poliklinikker og laboratorier er et godt og tilstrekkelig tillegg til den informasjonen som i dag blir gitt. Ansvaret for å oppfylle pliktene er lagt til fagdirektør som har delegert oppgaven til forskningssjef. Det er ikke beskrevet noen rutine for informering av pasienter i internkontrollsystemet, og heller ikke at slik rutine er kommunisert ut til ansatte. Datatilsynet finner imidlertid at Laboratoriemedisinsk klinikk har skrevet om biologisk forskningsreservasjon i Labnytt nr. 3 2012. Her vises det til grunnelementene i helseforetakets informasjonsplikt og pasientens rett til å reservere seg mot at biologisk materiale brukes til forskning. Det er også vist til FHI sine nettsider for mer utdypende informasjon. 3.2.2 Plikten til å informere pasientene 3.2.2.1 Krav i regelverket Helseforetakene har som nevnt en plikt til å informere sine pasienter om at biologisk materiale innhentet og lagret i forbindelse med diagnostikk og behandling i visse tilfeller kan bli benyttet til forskning, jf. helseforskningsloven 28 første og andre ledd. Helseforetakene har løst denne oppgaven på ulike måter, og med ulike virkemidler. Bestemmende for om plikten etter helseforskningsloven er oppfylt blir hvorvidt plikten til å informere er en plikt til kun å tilgjengeliggjøre informasjon som er egnet til å nå pasientene, eller om det er en plikt til å sørge for at hver enkelt pasient får denne informasjonen. Altså kollektiv eller individuell informasjonsplikt. 6 av 14

Lovens ordlyd taler for at det er tale om en individuell informasjonsplikt. Loven bruker pasienten i bestemt form, og ikke pasientene som hadde vært mer naturlig dersom gruppen pasienter skulle informeres kollektivt. Loven bruker dessuten ord som skal på forhånd ha blitt informert om. Dette tyder på at informasjonen skal komme på et tidspunkt som gjør at pasienten får anledning til å agere på informasjonen før det for eksempel blir tatt prøver. Etter Datatilsynets vurdering vil det å basere seg på kun brosjyrer og informasjonsplakater på venterom og lignende i liten grad oppfylle hensikten med bestemmelsen. Forarbeidene til helseforskningsloven gir støtte til en ordlydsfortolkning som den ovenfor. Av forarbeidene fremgår følgende: For at pasienter skal kunne reservere seg mot at humant biologisk materiale fra dem benyttes til forskning, foreslår departementet at det opprettes et reservasjonsregister slik de har i Danmark. Vævsanvendelsesregisteret i Danmark fungerer slik at alle pasienter får utdelt en brosjyre hvor de informeres om at de kan reservere seg mot at deres biologiske materiale benyttes til for eksempel forskning 1. Som St. Olavs hospital har tatt med i sin informasjon om biologisk reservasjonsregister, så har Folkehelseinstituttet lagt til grunn i sin informasjon til helseforetakene at det er behandlende helsepersonell som skal gi pasienten denne informasjonen f.eks ved prøvetaking 2. Datatilsynet mener på dette grunnlag å ha dekning for å kunne si at plikten til å informere er en plikt til å sørge for at hver enkelt pasient får informasjon. Dette betyr at generelle informasjonstiltak som brosjyrer, plakater og informasjon på nettsider ikke oppfyller plikten alene. Dersom man i tillegg til dette gir informasjon ved prøvetaking eller sender informasjon til pasientens adresse (f.eks ved innkallingsbrevet) er plikten oppfylt på en mer tilfredsstillende måte. Av de tre helseforetakene som er objekter i denne kontrollen har to av de iverksatt informasjonstiltak. Dette gjelder St. Olav hospital og Helse Bergen HF. Et av helseforetakene har ikke informasjonstiltak på plass, men opplyser at der er under planlegging. Dette gjelder Universitetssykehuset Nord-Norge HF. 3.2.2.2 Helse Bergen HF Foretaket har valgt en løsning der de både sender ut informasjon til hver enkelt pasient med innkallingsbrev, har informasjon på sine nettsider og informasjonsplakater på steder der pasientene ferdes på sykehuset. Datatilsynet mener at dette er en tilfredsstillende måte å oppfylle informasjonsplikten på, og konstaterer ikke avvik for dette. 1 Ot. prp. nr 74 (2006-2007) s. 114 2 Labnytt nr. 3 2013 og www.fhi.no 7 av 14

3.2.2.3 St. Olavs hospital HF Foretaket har valgt en løsning hvor informasjonsbrosjyre distribueres til alle lokasjoner hvor pasientene oppholder seg innad på sykehuset, samt at informasjon finnes på foretakets nettsider. Etter Datatilsynets vurdering vil ikke disse to informasjonstiltakene gi god nok sikkerhet for at hver enkelt pasient får den nødvendige informasjonen. Foretaket bør i tillegg gi informasjon ved prøvetaking, sende informasjon til pasientens adresse eller annet tiltak som i større grad oppfyller plikten til å gi individuell informasjon. Mangelfull informasjon til pasienter om at biologisk materiale innhentet som ledd i diagnostisering og behandling kan brukes til forskning uten pasientens samtykke er et avvik fra krav informasjonsplikten etter helseforskningslovens 28 andre ledd. 3.2.2.4 Universitetssykehuset Nord-Norge HF Foretaket gir pr. dags dato ingen informasjon til sine pasienter om at biologisk materiale innhentet som ledd i diagnostisering og behandling kan brukes til forskning uten pasientens samtykke. Helseforetaket synes videre å mene at plikten til å informere om dette henger sammen med adgangen til å søke godkjenning for bruk av denne type biologisk materiale i helseforskningsprosjekter. Datatilsynet mener at UNN HF har misforstått plikten etter helseforskningsloven 28 første og andre ledd. Plikten til å informere pasientene om at biologisk materiale innhentet som ledd i diagnostisering og behandling kan brukes til forskning uten pasientens samtykke er uavhengig av foretakets adgang til å søke godkjenning for bruk av denne type biologisk materiale i helseforskningsprosjekter. Informasjonen skal med andre ord gis uansett om det er aktuelt for foretaket å gjennomføre slike prosjekter eller ikke. Manglende informasjon til pasienter om at biologisk materiale innhentet som ledd i diagnostisering og behandling kan brukes til forskning uten pasientens samtykke, er et avvik fra krav informasjonsplikten etter helseforskningslovens 28 andre ledd. 3.2.3 Reservasjonsadgangen 3.2.3.1 Krav i regelverket Pasientene skal også ha fått adgang til å reservere seg mot forskning på humant biologisk materiale, jf. helseforskningsloven 28 andre ledd. For at dette skal være en reell rettighet må pasienten følgelig få informasjon om register for biologisk forskningsreservasjon og veiledning i hvordan man går frem for å bli registrert her. Datatilsynet mener at de hensyn som nevnt ovenfor gjør seg gjeldende også her. Helseforetakene er således forpliktet til å sørge for at hver enkelt pasient får informasjon om reservasjonsadgangen, og en plikt til å legge til rette slik at det blir enkelt for pasienten å reservere seg hvis ønskelig. 8 av 14

3.2.3.2 Helse Bergen HF Foretaket har i sitt informasjonsmateriell vist til at pasienten har en adgang til å reservere seg mot at hans/hennes biologiske materiale blir brukt til forskning, og har valgt å vise til FHI sine sider hvor skjema for reservasjon kan hentes, skrives ut, fylles ut og sendes inn til FHI pr post. Datatilsynet mener at dette er en tilfredsstillende måte å oppfylle informasjonsplikten på, og konstaterer ikke avvik for dette. 3.2.3.3 St. Olavs hospital HF Foretaket har i sitt informasjonsmateriell vist til at pasienten har en adgang til å reservere seg mot at hans/hennes biologiske materiale blir brukt til forskning, og har valgt å vise til FHI sine sider hvor skjema for reservasjon kan hentes, skrives ut, fylles ut og sendes inn til FHI pr post. Datatilsynet viser til vurderingen av oppfyllelsen av informasjonsplikten, og hvor vi mener at helseforetakets nåværende informasjonstiltak ikke gir god nok sikkerhet for at hver enkelt pasient får den nødvendige informasjon. Dette vil gjelde også for informasjon om reservasjonsadgangen og hvordan man går frem for å bli reservert. Foretaket bør i tillegg til dagens informasjon gi informasjon ved prøvetaking, sende informasjon til pasientens adresse eller annet tiltak som i større grad oppfyller plikten til å gi individuell informasjon. Mangelfull informasjon til pasienter om adgangen til å reservere seg mot at biologisk materiale innhentet som ledd i diagnostisering og behandling brukes til forskning uten pasientens samtykke er et avvik fra krav informasjonsplikten etter helseforskningslovens 28 andre ledd. 3.2.3.4 Universitetssykehuset i Nord-Norge HF Foretaket gir pr. dags dato ingen informasjon til sine pasienter om adgangen til å reservere seg mot at ens biologiske materiale blir brukt til forskning. Manglende informasjon til pasienter om adgangen til å reservere seg mot at biologisk materiale innhentet som ledd i diagnostisering og behandling kan brukes til forskning uten pasientens samtykke, er et avvik fra krav informasjonsplikten etter helseforskningslovens 28 andre ledd. 3.2.3.5 Øvrige bemerkninger Datatilsynet har etter egen vurdering neppe myndighet til å pålegge helseforetakene noe mer enn å informere om hvordan man skal gå frem for å reservere seg mot forskning på biologisk materiale. Vi ønsker likevel å påpeke muligheten foretakene har til å gjøre reservasjonen lettest mulig for de pasientene som ønsker dette. Dersom man likevel sender informasjon hjem til pasientene i posten kan det være hensiktsmessig å legge ved skjemaet utarbeidet av FHI slik at dette kan fylles ut og sendes inn. Ikke alle har skriver hjemme, og et slikt tiltak kan være nok til å gjøre dette lettere for pasientene. 9 av 14

For øvrig mener Datatilsynet at en optimal løsning vil være å gjøre reservasjonen mulig på nett. Vi er imidlertid klar over at selve reservasjonsløsningen ikke er helseforetakenes ansvar, og så lenge løsningen er at papirskjema sendes inn til FHI pr post må både helseforetak og pasienter forholde seg til dette. 3.2.4 Ansvarsplassering informasjonsplikt Kontrollen inneholdt spørsmål om plassering av ansvar for å sørge for at informasjonsplikten blir oppfylt. Datatilsynet har ingen kommentarer til hvordan foretakene har løst ansvarsplasseringen. 3.2.5 Vask mot register for biologisk forskningsreservasjon Kontrollen har avdekket at to ulike, motstridende, rutiner er beskrevet av helseforetakene 3. Det gjøres oppmerksom på at rutinen som nå ligger på FHI sine nettsider er den korrekte. 3 Se pkt 5.3 om vask mot register for biologisk forskningsreservasjon 10 av 14

4 Stedlig kontroll ved FHI 4.1 Om kontrollen 4.1.1 Agenda - Åpningsmøte. Presentasjon og orientering om gjennomføringen av kontrollen - Presentasjon fra FHI v/ direktør Camilla Stoltenberg - Juridiske aspekter ved register for biologisk forskningsreservasjon - Spørsmål og diskusjon - Avslutning og oppsummering 4.1.2 Område for kontrollen - Virksomhetens internkontroll med hensyn til register for biologisk forskningsreservasjon - Virksomhetens ivaretakelse av informasjonssikkerhet i register for biologisk forskningsreservasjon med blant annet fokus på kommunikasjon, lagring, identitetshåndtering. 4.1.3 Tilstede fra FHI - Camilla Stoltenberg, direktør Nasjonalt folkehelseinstitutt - Åsa L abèe-lund, seniorrådgiver, Avdeling for prosjektstøtte og økonomi (SIPS) - Kari Kapstad, enhetsleder Systemutvikling Oslo, Avdeling for IT og e-helse (SIITSO) Følgende personer skulle deltatt i møtet, men ble forhindret: - Tor Åsmund Martinsen, personvernombud, Avdeling for kvalitet (SIKA) - Ninia M. Johnsen, avdelingsdirktør, Avdeling for prosjektstøtte og økonimi (SIPS) 4.1.4 Tilstede fra Datatilsynet - Marius Engh Pellerud, rådgiver, tilsyns- og sikkerhetsavdelingen - Eirin Oda Lauvset, seniorrådgiver, juridisk avdeling 4.1.5 Tilstede fra Statens helsetilsyn - Vivi Oppdal 11 av 14

4.2 Om register for biologisk forskningsreservasjon Lov 20. juni 2008 nr. 44 om medisinsk og helsefaglig forskning (helseforskningsloven) trådte i kraft 1. juli 2009. Helseforskningsloven 28 tredje ledd fastslår at det skal opprettes et elektronisk register med oversikt over de pasientene som har reservert seg mot at deres biologiske materiale benyttes til forskning. Et slikt register er opprettet og føres av FHI. Reservasjonsregisteret er tilknyttet Biobankregisteret i Bergen. FHI ga en innledende presentasjon av registerets opprinnelse og hvordan det drives. FHI orienterte om at det under forberedelsene til helseforskningsloven ble det påpekt at det gjeldende regelverket gjorde det vanskelig å bruke humant biologisk materiale innhentet i helsetjenesten til forskning uten pasientens samtykke. Dette ønsket man å gjøre noe med, og det ble dermed gitt en adgang til bruk av slikt biologisk materiale uten krav om samtykke, men forutsatt at en del vilkår var oppfylt. - Den regionale komiteen for medisinsk og helsefaglig forskningsetikk må godkjenne bruken og kan sette vilkår for bruken. - Forskningen må være av vesentlig interesse for samfunnet - Hensynet til deltakernes velferd og integritet skal være ivaretatt FHI la ikke skjul på at de ikke på noe tidspunkt har ønsket ansvaret for dette registeret, men ansvaret for driften er likevel blitt lagt til FHI av hensiktsmessighetsgrunner. 4.3 Funn og avvik fra lovbestemte krav til behandling av personopplysninger 4.3.1 Krav i regelverket Helseforskningsloven 28 tredje ledd fastslår at det skal opprettes et elektronisk register med oversikt over de pasientene som har reservert seg mot at deres biologiske materiale benyttes til forskning. 4.3.2 Funn 4.3.2.1 Organisering, ansvarsforhold og styring Registrering av reservasjoner fra enkeltpersoner i registeret, og saksbehandling av henvendelser fra forskningsprosjekter, gjøres av en saksbehandler ved underenheten SIPSDI, som er lokalisert i Bergen. For FHI har registeret inntil nylig bestått av en excel-fil hvor navn på de reserverte er blitt registrert. 2. mai 2012 ble det etablert en database som skal ivareta registerfunksjonen. 4.3.2.2 Reservasjonsløsningen For pasienten består register for biologisk forskningsreservasjon av en side på FHI sine nettsider hvor et elektronisk skjema kan lastes ned. Skjemaet må skrives ut, fylles ut og sendes med post til FHI. Pasienten får en skriftlig bekreftelse på at reservasjonen er foretatt. 12 av 14

4.3.2.3 Vask mot utvalg i forskningsprosjekter I løpet av registerets levetid på 3-4 år er det foretatt totalt 4 vask av prosjektutvalg mot registrerte reservasjoner. Av informasjonen mottatt fra helseforetakene fremgår det to ulike rutiner for vask som er motstridende. Under kontrollen kom det fram at den ene rutinen Datatilsynet har fått oversendt nå er utdatert. Den innebar at ved vasking skulle forskerne sende sitt prosjektutvalg til FHI. FHI vasket så dette utvalget mot de registrerte reservasjonene. En vasket oversikt ble så sendt tilbake til forskerne. Denne rutinen ble kun gjennomført i ett tilfelle. Ny og gjeldende rutine er at IT-avdelingen ved FHI (SIIT) lager fil med fødselsnummer på alle reserverte etter bestilling fra saksbehandler som har ansvar for å kryptere filen på en CD og sende denne rekommandert til aktuell prosjektleder. Forskningsansvarlig virksomhet gjennomfører så selv vask mot sitt prosjektutvalg. Listen med de reservertes fødselsnummer skal slettes når identifisering mot utvalgsfilen er foretatt. Denne rutinen er gjennomført ved de tre siste vaskingene. Datatilsynet vurderer det slik at den nye rutinen er bedre enn den gamle ettersom informasjon om reservasjon må anses som mindre beskyttelsesverdig informasjon enn forskningsprosjektets pasientopplysninger. 4.3.2.4 Informasjonsplikt FHI sitt lovmessige ansvar er begrenset til drift av registeret. For at en reservasjonsadgang skal være reell kreves det imidlertid at pasientene får informasjon om at de har en rett til å reservere seg, og hvordan de går frem for å bli reservert. Plikten til å informere pasientene påhviler helseforetakene. FHI har likevel valgt å gjøre en del tiltak for å sikre at denne informasjonen når frem til pasientene: Påminnelser til de regionale helseforetakene (RHF) om informasjonsplikten som påhviler dem Utarbeidelse av informasjonsskriv for nedlasting fra FHI sine nettsider FHI vurderer å be Helse- og omsorgsdepartementet (HOD) om å innhente rapportering fra RHFene om gjennomføring av informasjonsplikten mot pasienter og forskere. 4.3.3 Vurdering og konklusjon FHI har etablert et elektronisk register med oversikt over de pasientene som har reservert seg mot at deres biologiske materiale benyttes til forskning. FHI har oppfylt sin plikt etter helseforskningslovens 28 tredje ledd. Det ble ikke konstatert avvik fra regelverkets krav. 4.4 Andre bemerkninger Som nevnt under gjennomgangen av kontroll med helseforetakene mener Datatilsynet at en optimal løsning vil være å gjøre reservasjon mulig via Internett. Dagens løsning hvor pasientene må skaffe seg tilgang til det elektroniske skjema, for så å skrive ut et papirskjema 13 av 14

som skal fylles ut og sendes inn til FHI pr post er tungvindt, og legger ikke godt til rette for at dette er en rettighet som pasientene kan benytte seg av. 14 av 14