Implementering av helseforskningsloven. Utfordringer og konsekvenser for universitetsog høyskolesektoren

Implementering av helseforskningsloven Utfordringer og konsekvenser for universitetsog høyskolesektoren Rapport fra arbeidsgruppe nedsatt av Universitets- og høgskolerådet. Arbeid avsluttet 3. mai 2011

Innhold Hovedpunkter... 3 1. Innledning og bakgrunn... 4 2. Arbeidsgruppe nedsatt av Universitets- og høgskolerådet... 5 2.1. Mandat... 5 2.2. Innhenting og utveksling av informasjon... 6 3. Kravet om internkontroll i den enkelte forskningsinstitusjon... 7 3. 1. Kravet om at det føres løpende oversikt over medisinske og helsefaglige forskningsprosjekter i institusjonen... 9 3.2. Intern involvering av forskningsinstitusjonen i forskningsprosjekter før søknad om forhåndsgodkjenning sendes REK... 11 3. 3. Retningslinjer og rutiner m.m. for å ivareta kravet om internkontrollansvar... 12 3.4. Vurdering av personvernet i medisinsk og helsefaglig forskning i UH-sektoren... 13 3.5. Avklaring av roller i forskningssamarbeid med universitetssykehus og andre helseinstitusjoner... 14 3.6. Avgrensning av forskning som hører inn under loven... 14 3.7. Informasjonssikkerhet... 15 4. Referanser... 16 5. Vedlegg... 18 2

Hovedpunkter Virksomheten må selv utarbeide nødvendige retningslinjer og rutiner (internkontrollsystem) tilpasset sin aktivitet og organisasjon. Rutinene må gjelde alle nivåer i virksomheten. Ledelsen ved den enkelte institusjon må kunne vise til hvordan regelverket er implementert i internkontrollsystemet. Det er ikke tilstrekkelig å ha et overordnet regelverk og forutsette at dette etterleves nedover i institusjonen. Den forskningsansvarlige må dokumentere at loven og forskriftens krav er implementert på alle nivåer i virksomheten. Arbeidsgruppen anbefaler alle forskningsinstitusjonene å kartlegge egen forskning som omfattes av helseforskningsloven som bakgrunn for å utforme interkontrollsystemet. Fordi det skal føres internkontroll tilpasset virksomhetens størrelse, egenart, aktiviteter og risikoforhold, må den enkelte institusjonen selv beslutte hvilke(t) verktøy som skal benyttes for å få en løpende oversikt over forskningsprosjektene. Fordi forskningsansvarlig etter loven skal sikre at forskningen ved institusjonen skal organiseres og praktiseres forsvarlig, må omfang og nivå av informasjon om prosjektene i forkant gjenspeile hva som er nødvendig for å sikre muligheten for forskningsansvarlig til å gi tilslutning til eller eventuelt si nei til forskningsprosjektet før prosjektet startes. Hver enkelt institusjon må vurdere hva som er nødvendig i egen institusjon for å oppfylle dette kravet. 1 Det må inngås klare avtaler om hvilken institusjon som anses som forskningsansvarlig i et forskningssamarbeid, og dette bør gjøres før prosjektet settes i gang. Forskningsansvarlig i samarbeidsprosjekter bør i utgangspunktet være den institusjon hvor forskningen rent faktisk og naturlig hører hjemme. I praksis vil det normalt si den institusjon hvor forskningen finner sted. Det er kun en institusjon som kan være forskningsansvarlig, med unntak ved multisenterstudier. Ved kontinuerlig samarbeid vil felles rutiner kunne være formålstjenlig. Dersom det er usikkerhet knyttet til om et prosjekt er et medisinsk eller helsefaglig forskningsprosjekt etter loven, bør REK konsulteres for nærmere avklaring. For å ivareta krav til informasjonssikkerhet må det utarbeides egne dokumenterte rutiner, og den enkelte institusjon må tilrettelegge for sikker lagring av personopplysningene. Arbeidsgruppen viser i den forbindelse til Norm for informasjonssikkerhet i helse-, omsorgs- og sosialsektoren 2, som er et omforent sett av krav til informasjonssikkerhet, basert på relevant lovverk. Arbeidsgruppen viser også til veileder for Personvern og informasjonssikkerhet i forskningsprosjekter innenfor helse- og omsorgssektoren 3. 1 Helseforskningsloven intensjon og utfordringer, Sverre Engelschiøn, presentasjon på seminar om helseforskningsloven, Gardermoen 25. oktober 2010. http://www.uhr.no/aktuelt_fra_uhr/seminar_om_helseforskningsloven 2 http://www.helsedirektoratet.no/normen/normen_66338 3 www.helsedirektoratet.no/vp/.../veileder_personvern_133539a.pdf 3

1. Innledning og bakgrunn 4 Arbeidsgruppens mål med arbeidet har vært å peke på sentrale utfordringer for universitetsog høyskolesektoren ved implementering av helseforskningsloven, samt gi føringer og foreslå retningslinjer og rutiner til hjelp for institusjonene for å implementere loven i egen institusjon. Helseforskningsloven med forskrift trådte i kraft 1. juli 2009. Formålet med loven er å fremme god og etisk forsvarlig medisinsk og helsefaglig forskning. Innføring av én postkasse for søknader til Regionale etiske komiteer (REK) er et hovedprinsipp som skal gjøre søknadsprosessen enklere og mer effektiv. Loven gjelder for medisinsk og helsefaglig forskning på mennesker, humant biologisk materiale eller helseopplysninger. Loven gjelder ikke for kvalitetssikring, som en del av helsetjenesten eller for etablering av helseregistre, jf lovens 2. Helseforskningsloven samler bestemmelser fra tidligere lover: personopplysningsloven, helseregisterloven, pasientrettighetsloven, helsepersonelloven m.fl. De fleste bestemmelsene i helseforskningsloven fantes derfor allerede i tidligere lovverk før 1. juli 2009 og gjelder fremdeles for forskning som ikke omfattes av loven. Noen få og viktige bestemmelser er nye, og disse omfatter omfang, nivå og presisering av kravene om institusjonenes organisering og gjennomføring av og ansvar for forskning som faller inn under loven (internkontrollsystem 5 ), og søknadsprosessen mot REK. Krav om internkontroll gjaldt også tidligere for medisinsk og helsefaglig forskning, men kravene er nå samlet i én lov. En forutsetning for en enklere og mer effektiv søknadsprosess er at kontrollen med organiseringen og gjennomføringen av forskningen i større grad overføres til institusjonene enn tidligere. Enkelt tilgjengelige og klare rutiner om hvilket spillerom man har som tilsatt og hvordan dette skal utøves, skal bidra til å sikre forutberegnelighet og forenkle søknadsprosessen for den tilsatte. Etter loven skal medisinsk og helsefaglig forskning organiseres med en forskningsansvarlig, som ved den enkelte forskningsinstitusjonen vil være øverste administrative leder samt at det for det enkelte prosjekt skal være en forskningskompetent prosjektleder. Kravet om at forskningsansvarlig oppretter et internkontrollsystem, er for å sikre at institusjonens og derved prosjektledernes medisinske og helsefaglige forskning planlegges, utføres og avsluttes i henhold til regelverket, og at den forskningsansvarlige har en løpende oversikt over institusjonens aktivitet. Personopplysningsloven gjelder utfyllende til helseforskningsloven, herunder krav om informasjonssikkerhet og bestemmelsene om informasjonsplikt til de registrerte mfl. Krav til datalagring og informasjonssikkerhet skal derfor utgjøre en del av forskningsinstitusjonens internkontrollsystem. Vurderingen av personvernet i et prosjekt foretas nå av REK slik at forskningsinstitusjonene ikke lenger behøver konsesjon fra Datatilsynet eller å benytte personvernombud ved forskning som faller inn under helseforskningsloven. REK fikk utvidet mandat fra 1. juli 2009 slik at forskning som faller inn under helseforskningsloven, skal meldes og forhåndsgodkjennes kun av REK alene som 4 Kilder: Helseforskningloven med forskrift, veileder til loven, Forskningsansansvarlig i hht. Helseforskningsloven; N.J. Langtvedt, J. Hølen; Forskningsetisk bibliotek, 26. mai 2010 5 Forskrift om organisering av medisinsk og helsefaglig forskning av 1. juli 2009 4

forvaltningsorgan 6. Dersom prosjektet omfatter opprettelse av biobank som en del av prosjektet, skal det i godkjenningen fra REK også fremgå om vedtaket omfatter opprettelse av biobanken, samt godkjenning av håndtering av personopplysninger. Dersom det også søkes om dispensasjon fra taushetsplikt, skal REKs vurdering av dette også fremgå klart av vedtaket. 2. Arbeidsgruppe nedsatt av Universitets- og høgskolerådet UHRs forskningsutvalg opprettet i mai 2009 en arbeidsgruppe som skulle gjennomgå mønsteravtalen mellom UHR og NSD med hensyn til hvilke tjenester institusjonene har behov for å få dekket i lys av den nye helseforskningsloven og hvordan tjenesten effektivt kan organiseres 7. Konklusjonen fra den gruppen var at det var behov for videre utredning for gjennomgang av prosedyrer og for å etablere gode rutiner for internkontroll fordi den nye helseforskningsloven stiller krav til etablering av organisatorisk rammeverk hos institusjonen som forskningsansvarlig, og medisinsk og helsefaglig forskning skal organiseres med en forskningsansvarlig og en prosjektleder. UHR etablerte derfor i mars 2010 en arbeidsgruppe som skulle arbeide videre med disse problemstillingene. Arbeidsgruppen, som rapporterte både til Administrasjonsutvalget og Forskningsutvalget i UHR, har hatt følgende sammensetning: Professor Trine B. Haugen, prorektor FoU, HiO og varamedlem i UHRs forskningsutvalg (leder av utvalget) Professor Helge Klungland, prodekan forskning, Det medisinske fakultet, NTNU Professor Berit Rokne, prorektor, UiB Rådgiver Lene Roska Aalén, Kollegiesekretariatet,UiB(sekretær fra september 2010) Professor Frode Vartdal, instituttleder, Institutt for klinisk medisin, fra 1.01.2011 dekan, Det medisinske fakultet, UiO Seniorrådgiver Walter Martin Tveter, Universitetets senter for informasjonsteknologi, UiO (sekretær frem til september 2010 da han gikk over i ny stilling utenfor UiO) Seniorrådgiver Mette Sollihagen Hauge, Forskningsadministrativ avdeling, UiO Fra UHRs sekretariat har spesialrådgiver Ingvild Broch og seniorrådgiver Sigrid Tollefsen fulgt arbeidet for hhv. UHRs forskningsutvalg og UHRs administrasjonsutvalg. 2.1. Mandat Opprinnelig mandat for arbeidsgruppen fremkommer i vedlegg 1. 6 Visse forskningsprosjekter krever fortsatt to-instansbehandling, bla legemiddelutprøvinger, utprøving av medisinsk utstyr og forskning som faller inn under Bioteknologiloven. 7 Rapport Gjennomgang av mønsteravtalen mellom UHR og NSD fra 22.12.2009, se vedlegg 5 5

Arbeidsgruppen har i sitt arbeid konsentrert seg om kravet til internkontroll, jf lovens 6 og forskriftens 4, og særlig om følgende temaer knyttet til dette: Kravet til den forskningsansvarlige om at det føres løpende oversikt over alle medisinske og helsefaglige forskningsprosjekter som involverer mennesker, humant biologisk materiale eller helseopplysinger innen eget ansvarsområde. 8 Intern involvering av forskningsinstitusjonen i forskningsprosjekter før søknad om forhåndsgodkjenning sendes REK 9. Retningslinjer og rutiner m.m. for å ivareta kravet om internkontrollansvar 10. Gruppen har også vurdert følgende temaer: Vurdering av personvernet i medisinsk og helsefaglig forskning 11 i UH-sektoren. Avklaring av roller i UH-sektorens forskningssamarbeid med universitetssykehus og andre helseinstitusjoner Avgrensning av forskning som hører inn under loven Krav til informasjonssikkerhet for å ivareta personopplysningslovens krav. Arbeidet skulle være ferdig til 1. november 2010, men fordi det tok tid før arbeidet startet opp, vil arbeidet sluttføres 3.05. 2011. 2.2. Innhenting og utveksling av informasjon Arbeidsgruppen har hatt seks møter fra mars 2010 til mai 2011. For å hente inn informasjon har arbeidsgruppen samt arbeidsgruppens leder og UHRs sekretariat hatt møter og kontakt med henholdsvis REK, NSD og Den nasjonale forskningsetiske komité for medisin og helsefag (NEM). I august foretok arbeidsgruppen en kartlegging blant UHRs medlemsinstitusjoner for å skaffe seg en oversikt over hvor langt UH-institusjonene var kommet med implementering av helseforskningsloven. Det ble sendt ut spørsmål om omfanget av helseforskning, om internkontroll, om tjenester fra NSD, om forskningsprosjekter utenfor helseforskningsloven der personopplysninger inngår, om forskningssamarbeid og om eget internkontrollsystem for helseforskningsprosjekter. Kartleggingen i august 2010 viste at helseforskningsloven er relevant for alle UH-institusjoner. Noen få av universitetene har etablert internkontrollsystemer eller er i ferd med å gjøre det 12, men kartleggingen viser at nesten ingen av institusjonene hadde etablert et system for å ivareta kravet om internkontroll. Flere 8 Jf lovens 6 og forskriftens 4 9 Jf lovens 6 og forskriftens 4 og 5 10 Jf lovens 6 og forskriftens 4 11 Jf lovens 2 12 Se s. 11 for eksempler på kvalitetssystem/internkontrollsystem som er utarbeidet i henhold til helseforskningsloven. 6

av de større UH-institusjonene er interesserte i å samarbeide med tilgrensende helseinstitusjoner om felles rutiner for internkontroll av helseforskningsprosjekter. Nesten alle UH-institusjoner bruker NSD som personvernombud, og mange har prosjekter der personopplysninger inngår, men som ikke omfattes av helseforskningsloven. Nesten alle mener det er hensiktsmessig å bruke NSD som personvernombud for forskning som ikke omfattes av helseforskningsloven. Svært mange av institusjonene svarte at de venter på klargjøringer og anbefalinger fra UHRs arbeidsgruppe før de utviklet sitt eget internkontrollsystem. 25. oktober 2010 arrangerte arbeidsgruppen et seminar med tittelen Den nye helseforskningsloven - en utfordring for universiteter og høyskoler 13. Seminaret samlet 110 deltakere og hadde innledere fra Helse- og omsorgsdepartementet, REK, Datatilsynet og NSD. I tillegg ble det felles kvalitetssystemet for medisinsk og helsefaglig forskning ved Universitetet i Bergen og Haukeland universitetssykehus presentert, samt Oslo universitetssykehus sitt overordnede kvalitetssystem for helseforetaket. Seminaret bekreftet inntrykket fra kartleggingen, og diskusjonene i møtet ga innspill og retning i forhold til behov for avklaringer og anbefalinger fra arbeidsgruppen, jf kap. 3.1 om arbeidsgruppens mandat. Arbeidsgruppen vil takke alle som har bidradd med god hjelp og innspill i prosessen: UHinstitusjonene, som besvarte vår raske kartlegging av deres endringer etter innføring av ny lov; REK og NSD, som har hatt møter med arbeidsgruppen og NEM som har hatt møte med sekretariatet, alle som kom på seminaret og da spesielt innlederne og sist, men ikke minst innlederne fra Helse- og omsorgsdepartementet, Datatilsynet, REK, NEM, NSD og i tillegg andre seminardeltagere som sendte oss skriftlige innspill etter seminaret. 3. Kravet om internkontroll i den enkelte forskningsinstitusjon Arbeidsgruppen har vurdert sentrale temaer i helseforskningsloven med forskrift for at UHinstitusjonene skal kunne ivareta kravet om internkontroll ved egen institusjon ved gjennomføring av medisinsk og helsefaglig forskning. I helseforskningsloven 6 fremkommer Hovedkrav til organisering av forskning Medisinsk og helsefaglig forskning skal organiseres med en forskningsansvarlig og en prosjektleder og beskrives i en forskningsprotokoll. Finansieringskilder må fremgå av protokollen. Det skal føres internkontroll tilpasset virksomhetens størrelse, egenart, aktiviteter og risikoforhold. Departementet kan gi forskrift med nærmere krav til organisering av medisinsk og helsefaglig forskning, krav til forskningsprotokollen og til internkontroll, samt gi bestemmelser om prosjektleders og forskningsansvarliges plikter. 13 Presentasjoner og program fra seminaret ligger på UHRs web: http://www.uhr.no/aktuelt_fra_uhr/seminar_om_helseforskningsloven 7

Forskrift om organiseringen av medisinsk og helsefaglig forskning utdyper kravene til organiseringen og gir informasjon om hvilke elementer som må til i et internkontrollsystem for å ivareta kravet. Ifølge forskriften 4 må internkontrollsystemet ha styrende, gjennomførende og kontrollerende elementer, og i det minste sørge for a) at virksomhetens mål for forskningen, samt ansvars- og myndighetsforhold og hvordan forskningsvirksomheten strukturelt er tilrettelagt og organisert, er beskrevet b) at det føres løpende oversikt over alle medisinske og helsefaglige forskningsprosjekter som involverer mennesker, humant biologisk materiale eller helseopplysinger innen eget ansvarsområde c) å ha oversikt over de krav i og i medhold av helseforskningsloven og annet regelverk, som gjelder for forskningen d) at det utarbeides og dokumenteres rutiner som setter prosjektleder og medarbeiderne i virksomhetens forskningsprosjekter i stand til å overholde kravene som nevnt i bokstav c e) at prosjektleder, medarbeidere og annet personell som er involvert i forskningsprosjekter har tilstrekkelig kompetanse f) at det utarbeides og dokumenteres rutiner for å motta meldinger om avvik og sikre at avvik rettes g) at det foretas systematisk overvåking og gjennomgang av internkontroll for å sikre at den fungerer som forutsatt og bidrar til kontinuerlig forbedring i virksomheten. Arbeidsgruppen bemerker: Arbeidsgruppen anbefaler alle forskningsinstitusjonene å kartlegge egen forskning som omfattes av helseforskningsloven som bakgrunn for å utforme internkontrollsystemet. Omfang og nivå av internkontrollsystemet skal gjenspeile forskningsaktiviteten i den enkelte institusjon, og systemet må dokumenteres. Institusjonene kan ta utgangspunkt i eget etablert internkontrollsystem for behandling av personopplysninger dersom dette anses hensiktsmessig for å oppfylle krav etter helseforskningsloven. Virksomheten må selv utarbeide nødvendige rutiner. Rutinene må gjelde alle nivåer i virksomheten. Forskningsansvarlig skal ved internkontrollsystemet legge til rette for at forsvarlig forskning kan finne sted på institusjonen, noe som blant annet innebærer opplæring og veiledning av egne forskere. Ledelsen må kunne vise til hvordan regelverket er implementert i egen institusjon via internkontrollsystemet. Det er ikke tilstrekkelig å ha et overordnet regelverk og forutsette at dette etterleves nedover i institusjonen. Den forskningsansvarlige må dokumentere at forskriftens krav er implementert på alle nivåer i virksomheten. Internkontrollsystemet må være tilpasset den enkelte institusjons behov, særlig sett hen til institusjonens størrelse og omfang av forskningsaktivitet som omfattes av loven. 8

3. 1. Kravet om at det føres løpende oversikt over medisinske og helsefaglige forskningsprosjekter i institusjonen Krav om løpende oversikt fremkommer i forskriften 4; Internkontroll skal ha styrende, gjennomførende og kontrollerende elementer, som innebærer at den forskningsansvarlige minst skal sørge for. b) at det føres løpende oversikt over alle medisinske og helsefaglige forskningsprosjekter som involverer mennesker, humant biologisk materiale eller helseopplysinger innen eget ansvarsområde I merknader til forskriftens bestemmelser side 6 14 fremgår det: I henhold til bokstav b) må den forskningsansvarlige sørge for at det føres løpende oversikt over alle medisinske og helsefaglige forskningsprosjekter som involverer mennesker, humant biologisk materiale eller helseopplysinger innen eget ansvarsområde. Innen eget ansvarsområde vil si alle forskningsprosjekter som gjennomføres i virksomheten. I arbeidet med rapporten har arbeidsgruppen hatt dialog med REKene om status for SPREKportalen for å avklare om denne vil gi institusjonene tilstrekkelig oversikt over egne forskningsprosjekter i henhold til kravet om løpende oversikt etter loven. I tillegg er det stilt spørsmål om SPREK-portalen har en funksjonalitet som styringsverktøy i forbindelse med gjennomføring og avslutning av prosjekter for institusjonene. 15 Arbeidsgruppen er informert om at den nye SPREK-portalen nå er produksjonssatt. Portalen gir i dag forskningsansvarlig mulighet til å søke i en søkefunksjon etter forskningsprosjekter som er registrert i portalen fra egen institusjon. Den gir også status for enkeltprosjekter. REK har dessuten informert om at det vil bli sendt varsel ved oppgitt prosjektslutt. Arbeidsgruppen er også informert om en rapport fra en arbeidsgruppe, levert Helse- og omsorgsdepartementet i februar 2011og som foreslår nærmere samhandling mellom SPREK og forskningsansvarlig, blant annet en integrering med Cristin og opprettelse av Min side i SPREK for forskningsansvarlig som grunnlag for styringsverktøy av egen forskningsportefølje. Det er ikke tatt stilling til om SPREK skal kunne være et tilstrekkelig styringsverktøy for institusjonenes egen internkontroll. Inntil ikrafttredelsen av helseforskningsloven kunne institusjonene få oversikt og informasjon om egne forskningsprosjekter som behandlet personopplysninger i internkontrollportalen som administreres av NSD 16 dersom det var/er inngått avtale om dette. NSD har også som personvernombud og etter avtale med den enkelte institusjon kontaktet prosjektleder i 14 http://www.regjeringen.no/nb/dep/hod/dok/lover_regler/forskrifter/2009/helseforskningsloven.html?id=570542 15 Om SPREK-portalen se REKs nettsider: http://helseforskning.etikkom.no/ikbviewer/page/forside?lan=2 16 http://www.nsd.uib.no/personvern/internkontroll/ 9

forbindelse med prosjektslutt, særlig for å sikre at persondataene i prosjektet blir behandlet forsvarlig etter personopplysningsloven (anonymisert, slettet eller videre behandlet etter endringsmelding). Slik arbeidsgruppen har forstått det, er det ikke innenfor REKs mandat etter helseforskningsloven å skulle gjennomføre oppgaver i internkontrollsystemet til den enkelte institusjon. Arbeidsgruppen bemerker: Forskningsansvarliges løpende oversikt over forskningsprosjekter skal ha reell verdi som styringsverktøy for å sikre at forskningen organiseres og utøves forsvarlig, også for gjennomføring og avslutning av forskningsprosjektene 1. Ut fra den orienteringen som er gitt av REK om SPREK-portalen, er det arbeidsgruppens oppfatning at portalen vil gi nødvendig oversikt over hvilke prosjekter som har søkt forhåndsgodkjenning av REK. Forskningsansvarlig ved institusjonene må selv vurdere om portalen slik den fremstår i dag må kompletteres med andre interne styringsverktøy for å oppfylle lovens krav til internkontroll, herunder inngåelse av avtale med andre eksterne parter som kan yte slike tjenester. Dette må vurderes ut fra virksomhetens størrelse, egenart, aktiviteter og risikoforhold. 10

3.2. Intern involvering av forskningsinstitusjonen i forskningsprosjekter før søknad om forhåndsgodkjenning sendes REK Etter forskrift til helseforskningsloven 5 b) skal prosjektleder sørge for å involvere forskningsansvarlig i forskningsprosjekter før prosjektet starter. I merknader til lovens forskrift side 6 17 fremgår det: Av bokstav b) følger at prosjektleder skal sørge for å involvere den forskningsansvarlige i forskningsprosjektet. Dette må gjøres før prosjektet startes, det vil si før det søkes om forhåndsgodkjenning av et prosjekt og et prosjekt igangsettes. At den forskningsansvarlige skal involveres innebærer blant at prosjektleder må informere om forskningsprosjektet. Dette er viktig ettersom den forskningsansvarlige har det overordnede ansvaret for alle forskningsprosjekter som foregår ved egen virksomhet. Den forskningsansvarlige må således få anledning til å gi sin tilslutning eller eventuelt si nei til forskningsprosjektet, før prosjektet startes. Arbeidsgruppen bemerker: Forskningsansvarlig skal etter loven sikre at forskningen ved institusjonen organiseres og praktiseres forsvarlig. Omfang og nivå av informasjon om prosjektene i forkant må derfor gjenspeile hva som er nødvendig for å sikre muligheten for forskningsansvarlig til å gi tilslutning til eller eventuelt si nei til forskningsprosjektet før prosjektet startes. Hver enkelt institusjon må vurdere hva som er nødvendig i egen institusjon for å oppfylle dette kravet. Denne oppgaven kan delegeres til et lavere nivå i den enkelte institusjon. Eventuell delegasjon må kunne dokumenteres. Viktige momenter i avveiningen av nivå for intern involvering i forskningsprosjekter i forkant, vil være lovens intensjon om forenkling, at rutiner og retningslinjer skal sikre at forskerne og støtteapparatet rundt kan ivareta lovpålagte krav og institusjonens forventninger og hensynet til at forskeren skal forske og ikke bruke all tid til administrasjon 1. 17 http://www.regjeringen.no/nb/dep/hod/dok/lover_regler/forskrifter/2009/helseforskningsloven.html?id=570542 11

3. 3. Retningslinjer og rutiner m.m. for å ivareta kravet om internkontrollansvar For å innfri de omtalte kravene som er stilt til forskningsansvarlig om å sikre organiseringen av den medisinske og helsefaglige forskningen i den enkelte forskningsinstitusjon, vil det være nødvendig å ha et eget tilpasset internkontrollsystem for den enkelte forskningsinstitusjon. Dette innbærer et system med prosedyrer og rutiner tilpasset den enkelte institusjon som sikrer at styrende, utførende og kontrollerende aktiviteter utføres slik at kravene i regelverket ivaretas. Kravet om internkontroll innebærer å ha rutiner både for ansvarsplassering og for å påse at institusjonen følger sitt eget kvalitetssystem. Arbeidsgruppen vil vise til følgende eksempler på internkontrollsystem som er utarbeidet i henhold til helseforskningsloven: - Universitetet i Tromsø v/ Det helsevitenskapelige fakultet og Universitetssykehuset i Nord- Norge 18 - Universitetet i Bergen og Helse Bergen HF 19 - UiOs utkast til innhold (vedlegg 2) Arbeidsgruppen mener de skriftlige prosedyrene og rutinebeskrivelsene for den enkelte forskningsinstitusjon bør omhandle: Beskrivelse av forskningsansvarliges overordnede mål og strategi for medisinsk og helsefaglig forskning Forskningsansvarliges ansvar og delegering av oppgaver Prosjektleders plikter og oppgaver Intern fremleggelse/avklaring av forskningsprosjekt Registrering av forskningsprosjekter i institusjonens løpende oversikt Innhold protokoll, informert samtykke, forskningsdeltakeres rettigheter i forskningsprosjektet Søknad om forhåndsgodkjenning til REK, eventuelt andre instanser Søknad om opprettelse av biobank Søknad om endringer i forskningsprosjektet til REK Avslutning av forskningsprosjekt til REK Håndtering og oppbevaring av forskningsdata og personsensitive opplysninger Melding om uønskede medisinske hendelser Informasjon om erstatningsmuligheter for forskningsdeltaker Utlevering av personopplysninger eller biobankmateriale for forskningsprosjekt utenfor egen virksomhet Innhenting av opplysninger eller materiale utenfor egen virksomhet Avtalemaler, inkludert avklaring av forskningsansvarlig i samarbeidsprosjekter Avvikshåndtering 18 http://www2.uit.no/ikbviewer/page/ansatte/organisasjon/artikkel?p_menu=28713&p_document_id=212253&p_l ang=2&p_dimension_id=88108 19 http://helse-bergen.no/fagfolk/forskning/sider/forskingsrutinar.aspx 12

3.4. Vurdering av personvernet i medisinsk og helsefaglig forskning i UHsektoren Lov om behandling av personopplysninger (personopplysningsloven) av 14.4.2000 gjelder utfyllende til helseforskningsloven, herunder krav om informasjonssikkerhet og informasjonsplikt til de registrerte 20 mfl. Institusjonene bør allerede ha utarbeidet internkontrollsystem for å ivareta krav til behandling av personopplysninger. Krav til datalagring og informasjonssikkerhet skal også utgjøre en del av forskningsinstitusjonens internkontrollsystem for helseforskningen. Ved å opprette prosedyrer og rutiner for å ivareta personvernaspektet under helseforskningen er det ikke lenger krav om å søke konsesjon fra Datatilsynet eller å benytte personvernombud. I vedtaket fra REK godkjennes også behandling av personopplysninger i forskningsprosjektet. Forskningsinstitusjonen ved den forskningsansvarlige har ansvaret for et godt internt kvalitetssystem som sikrer håndtering og lagring av slike data. Norsk samfunnsvitenskapelig datatjeneste (NSD) er derfor ikke lenger personvernombud for UH-sektoren for forskning som omfattes av helseforskningsloven. NSD kan være personvernombud for annen forskning som omfattes av personopplysningsloven. For disse forskningsprosjektene er det fortsatt krav om konsesjon eller forhåndsvurdering av personvernombud. Institusjonene kan velge å inngå avtale med NSD om å benytte deres tjenester for oppfyllelse av oppgaver som følger av helseforskningsloven. Gruppen viser også til anbefaling fra tidligere gruppe som gjennomgikk mønsteravtalen mellom UHR og NSD 21. Arbeidsgruppen bemerker at NSD ikke lenger har en formell rolle som personvernombud for UH-sektoren for helseforskning etter helseforskningsloven. Arbeidsgruppen anbefaler at NSD fortsetter i rollen som personvernombud for forskningsprosjekt som omfattes av personopplysningsloven. 20 Jf lovens 2 21 Se vedlegg 5 13

3.5. Avklaring av roller i forskningssamarbeid med universitetssykehus og andre helseinstitusjoner Medisinsk og helsefaglig forskning skjer i dag ofte i samarbeid mellom universitet/høyskole og samarbeidspartnere i helsetjenesten. Slikt samarbeid er lovpålagt for universitet og universitetssykehus (eget helseforetak HF), og det er ønskelig både fra samfunnets og forskernes side at det legges til rette for slikt forskningssamarbeid. Arbeidsgruppen bemerker at: Universiteter, høyskoler og parter i helsetjeneste er separate juridisk enheter. Det må derfor inngås klare avtaler om hvilken institusjon som er forskningsansvarlig i et forskningsprosjekt og dette bør gjøres før prosjektet settes i gang. Det er kun en institusjon som kan være forskningsansvarlig, med unntak ved multisenterstudier. I kommentarutgaven til helseforskningsloven 22 fremgår det at forskningsansvarlig i samarbeidsprosjekter i utgangspunktet bør det være den institusjon hvor forskningen rent faktisk og naturlig hører hjemme. Det pekes videre på at dette i praksis normalt vil si den institusjon hvor forskningen finner sted. Ved kontinuerlig samarbeid vil det være formålstjenlig med felles rutiner. Helsetjenesten har et særskilt ansvar for å ivareta kravet til lagring av pasientopplysninger og biologisk materiale fra pasienter. Det er viktig å merke seg at den enkelte pasient har råde-/dispensasjonsrett over disse opplysningene. Ved forskning er det derfor pasientene som skal gi tilgang og tillatelse til bruk av sine helseopplysninger og biologiske materiale i forskningen, eventuelt REK på pasientens vegne i visse situasjoner. 3.6. Avgrensning av forskning som hører inn under loven I arbeidsgruppens kartlegging og innhenting av informasjon fra forskningsinsitusjonene er det påpekt av flere at det ønskelig med en tydeligere avgrensning av forskning som omfattes av helseforskningsloven og særlig mot kvalitetssikringsprosjekter. Avklaringen er viktig fordi ulike krav gjelder for ulike typer prosjekter. Kvalitetssikringsprosjekter faller utenfor helseforskningsloven og dermed utenfor REKs mandat. Selv om et prosjekt defineres utenfor helseforskningslovens virkeområde, kan prosjektet falle innenfor personopplysningsloven eller helseregisterloven, og prosjektansvarlig må da følge de aktuelle prosedyrer den forskningsansvarlige institusjonen har for dette. Medisinsk og helsefaglig forskning er i helseforskningsloven 4 definert som virksomhet som utføres med vitenskapelig metodikk for å skaffe til veie ny kunnskap om helse og sykdom. Dette står også utdypet i veileder til helseforskningsloven pkt 2.4. 22 Kommentarer til helseforskningsloven ved Sigmund Simonsen av 02.07.2010, til lovens 4 e). 14

Kvalitetssikringsprosjekter er ikke definert i loven, men omtales i veilederen pkt. 4 som: Kvalitetssikring kan defineres som prosjekter, undersøkelser, evalueringer o.l. som har som formål å kontrollere at diagnostikk og behandling faktisk gir de intenderte resultater. Nasjonale tiltak for å sikre og forbedre kvaliteten i tjenestene inkluderer utvikling av nasjonale kvalitetsindikatorer, samordning og styrking av medisinske kvalitetsregistre og å utarbeide gode faglige retningslinjer. Kvalitetsarbeidet må baseres på systematisk dokumentasjon. Interne kvalitetssikringsstudier der en undersøkelse initieres for å vurdere egen diagnostikk og behandling opp mot feltets standard, faller utenfor helseforskningslovens virkeområde og omfattes av helsepersonellovens 26. Kvalitetssikringsstudier på tvers av institusjoner og studier for styring av helsetjenesten skal hjemles i helsepersonelloven 29b. Dersom det for eksempel opprettes personregister i forbindelse med slike studier, vil det omfattes av personopplysningsloven, og det aktuelle personvernombudet skal ha melding om behandlingen. Arbeidsgruppen bemerker: Dersom det er usikkerhet knyttet til om et prosjekt er et medisinsk eller helsefaglig forskningsprosjekt etter loven, bør REK konsulteres for nærmere avklaring. 3.7. Informasjonssikkerhet Personopplysningsloven med forskrifter gjelder som utfyllende bestemmelser til helseforskningsloven 23. Personopplysningsloven stiller blant annet krav om at det gjennom planlagte og systematiske tiltak skal sørges for tilfredsstillende informasjonssikkerhet med hensyn til konfidensialitet, integritet og tilgjengelighet ved behandling av personopplysninger 24. Kravet til ivaretakelse av informasjonssikkerheten ved behandling av personopplysninger er ikke nytt for institusjonene, og det skal være etablert rutiner for dette etter personopplysningsloven og helseregisterloven. Institusjonene må nå sørge for at dette tilpasses medisinsk og helsefaglig forskning. Forskningsansvarlig ved den enkelte institusjon har det overordnede ansvaret for at det tilrettelegges for at medisinsk og helsefaglig forskning blir utført på en måte som ivaretar., personvern- og informasjonssikkerhetsmessige forhold 25. I veileder til helseforskningsloven sies det følgende om dette: For å oppfylle kravet om informasjonssikkerhet må det iverksettes tiltak som skal hindre at helseopplysninger fra prosjektet kommer uvedkommende i hende. Tiltakene bør minst vurderes ut i fra bruk av teknisk utstyr, tilgangsstyring, rutiner for avidentifisering og anonymisering av opplysninger og håndtering av avvik. Rutinene må også omfatte hva som skal skje med opplysningene ved avslutning av prosjektet. 23 Jf lovens 2 tredje ledd 24 Jf personopplysningsloven 13 25 Jf helseforskningsloven 3 a 15

Arbeidsgruppen bemerker: Det skal utarbeides egne dokumenterte rutiner for å ivareta informasjonssikkerheten, og at den enkelte institusjon må tilrettelegge for sikker lagring av personopplysningene. Arbeidsgruppen viser til: Norm for informasjonssikkerhet i helse-, omsorgs- og sosialsektoren, som er et omforent sett av krav til informasjonssikkerhet, basert på relevant lovverk. Arbeidsgruppen viser også til veileder for Personvern og informasjonssikkerhet i forskningsprosjekter innenfor helse- og omsorgssektoren 1. 4. Referanser Helseforskningsloven; http://lovdata.no/all/nl-20080620-044.html Forskrift til helseforskningsloven; http://lovdata.no/for/sf/ho/ho-20090701-0955.html Merknader til forskrift til helseforskningsloven: http://www.regjeringen.no/nb/dep/hod/dok/lover_regler/forskrifter/2009/helseforsknin gsloven.html?id=570542 Veileder til helseforskningsloven; http://www.regjeringen.no/nb/dep/hod/dok/veiledninger_og_brosjyrer/2010/veiledertil-lov-20-juni-2008-nr-44-om-medisinsk-og-helsefaglig-forskninghelseforskningsloven.html?id=599512 Forskningsansvarlig i hht. Helseforskningsloven; N.J. Langtvedt, J. Hølen; Forskningsetisk bibliotek, 26. mai 2010 Kommentarer til helseforskningsloven 2.6. 2010, Gyldendal rettsdata, Sigmund Simonsen Personopplysningsloven; http://lovdata.no/all/nl-20000414-031.html Forskrift til personopplysningsloven; http://lovdata.no/for/sf/fa/fa-20001215-1265.html Seminar om helseforskningsloven, arrangert av UHR 26.10.2010; http://www.uhr.no/aktuelt_fra_uhr/seminar_om_helseforskningsloven UiB/Helse Bergen HF - felles kvalitetssystem: http://helsebergen.no/fagfolk/forskning/sider/forskingsrutinar.aspx Internkontrollsystem helseforskningsloven UiT: www.2.uit.no/ikbviewer/page/ansatte/organisasjon/artikkel?p_document_id=212253 &p_dimension_id=88108&p_menu=28713&p_lang=2 16

Norm for informasjonssikkerhet i helsesektoren; http://www.helsedirektoratet.no/normen/normen_663384 Personvern og informasjonssikkerhet i forskningsprosjekter i helsesektoren www.helsedirektoratet.no/vp/.../veileder_personvern_133539a.pdf 17

5. Vedlegg 1. Opprinnelig mandat 2. Innholdsskisse UiOs kvalitetssystem 3. Myndigheters rolle 4. Rapport Gjennomgang av mønsteravtalen mellom UHR og NSD fra 22.12.2009 18

Vedlegg 1. Gruppens opprinnelige mandat Mandatet fremgår av brev av 15.9.2010 fra Universitets- og høyskolerådet til gruppens medlemmer: Mål for arbeidet Arbeidsgruppen skal vurdere konsekvensene av den nye helseforskningsloven for UHsektoren, med sikte på Organisering av internkontrollvirksomheten Organisering og plassering av forvaltningsoppgavene knyttet til ivaretakelse av informasjonssikkerheten Utarbeide et malverk for rutiner og prosedyrer, hvor malene kan tilpasses den enkelte institusjonens særpreg Teknisk løsning for støtte internkontrollvirksomheten, med særlig vekt på å vurdere hensiktsmessigheten av å bruke FRIDA til dette formålet Teknisk løsning av lagringsbehov knyttet til forskningsmateriale som sorterer under helseforskningsloven Videre skal gruppen fremme en anbefaling av hvorledes personvernombudet for forskning som fortsatt faller inn under personopplysningsloven bør organiseres, og hvilke tekniske løsninger som er egnet til å støtte internkontrollvirksomheten på dette området. Gruppen skal arbeide fram forslag til mønsteravtaler for de to tjenestene (personvern og internkontroll/rådgivning), og den skal utarbeide et malverk for rutiner og prosedyrer, hvor malene kan tilpasses den enkelte institusjonens særpreg. Arbeidsgruppen skal i sitt arbeid ha særlig oppmerksomhet mot En forenkling av søknadsprosessen slik at arbeidsbelastningen for den enkelte forsker blir så liten som mulig Hvordan et regionalt samarbeid kan etableres med sikte på å lage så rasjonelle arbeidsprosesser som råd Etablering av internkontrollmekanismer som ivaretar institusjonens ansvar på en god måte Etablering av tekniske løsninger som så langt det er mulig, legger til rette for effektiv forskning på det innsamlede materiale uten at kravet til informasjonssikkerhet settes til side Behovet for et tett samarbeid med universitetssykehusene og for å ha ryddige og klare ansvarslinjer i de tilfellene der forskerne har ansettelsesforhold både ved en av institusjonene i UH-sektoren og ved et av universitetssykehusene Etablering av en veiledningstjeneste som også kan ivareta de små institusjonenes behov. Leveranser og milepeler Arbeidsgruppen fremlegger sine vurderinger for Administrasjonsutvalget i UHR. Det skal fremmes en interimsrapport innen 15. juni 2010. Denne skal inneholde: Oversikt over problemkomplekset, inklusive pågående aktiviteter på dette området og hvilke bindinger og forutsetninger som gjelder 19

Anbefaling om hvordan internkontrollvirksomheten skal organiseres og dimensjoneres Anbefaling om hvordan rådgivningstjenesten skal organiseres og dimensjoneres Anbefaling av hvordan personopplysninger i forskning som ikke faller inn under helseforskningsloven skal håndteres Anbefaling om hvor lenge avtalen med NSD skal forlenges En vurdering av hvordan universitetssykehusene og eventuelle andre institusjoner skal trekkes inn i det videre arbeidet Arbeidsgruppen skal legge fram sin sluttrapport innen 1. november 2010. Denne skal inneholde: Funksjonell og teknisk spesifikasjon av eventuelle IT- løsningene som må etableres. Det skal særlig vurderes om det er hensiktsmessig å endre Frida/Cristin for å ivareta de IT-tekniske støttebehovene. Dette gjelder både IT-støtte til internkontrollvirksomheten og en eventuell etablering av sikre lagringsløsinger Anbefaling av hvordan videre samhandling med NSD skal være 20

Vedlegg 2. Innholdsskisse UiOs kvalitetssystem Universitetet i Oslo Universitetsdirektøren UIOs KVALITETSSYSTEM FOR MEDISINSK OG HELSEFAGLIG FORSKNING Innholdsfortegnelse I II III IV V Kvalitetspolicy Lenker til regelverket Definisjoner og forkortelser Roller og ansvar ved UiO IV.1 Organisasjonskart for UiOs medisinske og helsefaglige forskning Rutiner med sjekklister og maler Rutine 1 Virkeområde, overordnet ansvar og delegering av oppgaver fra den forskningsansvarlige V.1.1 Skjema for delegering av oppgaver Rutine 2 Håndtering av prosjekter V.2.1 Sjekkliste for prosjektplanlegging V.2.2 Sjekkliste for søknadsplikt om forhåndsgodkjenning V.2.3 Sjekkliste for forskningsprotokoll V.2.4 Sjekkliste for arkivering av prosjektdokumentasjon V.2.5 Skjema for melding om medisinske uønskede hendelse V.2.6 Veiledning for innlegging i CRISTIN V.2.7 REKs rutine for prosjektendring med sjekkliste V.2.8 REKs maler for informasjon og samtykke Rutine 3 Bruk av humant biologisk materiale til forskningsformål (forskningsbiobanker) V.3.1 Sjekkliste for forskningsbiobank V.3.2 Avtalemal for utlevering av materiale fra UiO (felles mal) V.3.3 Folkehelseinstituttets rutine for identifisering av pasienter registrert i reservasjonsregisteret Rutine 4 Lagring og håndtering av data (personvern) V.4.1 Sjekkliste for lagring og håndtering av data i det enkelte prosjekt V.3.2 Avtalemal for utlevering av materiale fra UiO (felles mal) Rutine 5 Internkontroll og revisjon (tilsyn) V.5.1 Oversikt over UiOs kvalitetssystem for medisinsk og helsefaglig forskning 1

Vedlegg 3. Myndigheter og helseforskningsloven Den nasjonale forskningsetiske komité for medisin og helsefag (NEM) NEM er et faglig uavhengig forvaltningsorgan og har som sitt ansvarsområde den forskningsetiske virksomhet innen det medisinske fagområde (helse- og livsvitenskap, inkludert psykologi), herunder kompetanseutvikling og forskning der medisinske problemer av etisk natur knytter seg til tverrfaglige forskningsprosjekter. Komiteen skal ha ansvar for forebygging av vitenskapelig uredelighet innen sitt virkeområde. Det innebærer bl.a å informere forskere, administrasjon og allmennhet om aktuelle og potensielle forskningsetiske spørsmål innen fagområdet. Minst en gang årlig skal NEM gjøre rede for sin virksomhet i et åpent møte og på måter den finner den tjenlig stimulere til en informert samfunnsdebatt om etiske spørsmål som knytter seg til medisinsk forskning og viten. NEM skal også holde andre nasjonale forskningsetiske og internasjonale forskningsetiske komiteer underrettet om sin virksomhet NEM er rådgivende og koordinerende for REK. NEM skal holde seg løpende orientert om aktuelle og potensielle forskningsetiske spørsmål innen det medisinske fagområde. NEM behandler klager over vedtak truffet av REK, jf. forskningsetikkloven 4 og forskrift om behandling av etikk og redelighet i forskning 3. NEM avgir også betenkninger i saker av prinsipiell medisinsk forskningsetisk karakter og uttale seg i enkeltsaker av spesiell forskningsetisk betydning. REK (Regionale komiteer for medisinsk og helsefaglig forskningsetikk) REK er et faglig uavhengig forvaltningsorgan fra juli 2009 for forhåndsgodkjenne av medisinske og helsefaglige forskningsprosjekter. Komiteene er hjemlet i forskningsetikkloven og helseforskningsloven, og de syv regionale komiteene er satt sammen av personer med ulik fagbakgrunn, lekrepresentanter og representanter fra pasientforeninger. Komiteene oppnevnes av Kunnskapsdepartementet for fire år om gangen. REK-vedtak kan påklages til Nasjonal forskningsetisk komité for medisin og helsefag (NEM), se under. Tilsynsmyndigheter Datatilsynet fører tilsyn med bruken av helseopplysninger etter helseforskningsloven. REK har overtatt ansvaret for forhåndsgodkjenning av medisinsk og helsefaglig forskning, men Datatilsynet skal fortsatt forhåndsgodkjenne forskningsprosjekter som ikke har medisinske og helsefaglige formål, prosjekter med kvalitetssikringsformål, etablering av helseregistre, samt godkjenne koblinger mot Reseptregisteret og IPLOS. Datatilsynet fører tilsyn med at selve bruken/behandlingen av opplysningene er i samsvar med lovens krav og de vilkår som er gitt av REK. Kjerneområdet for tilsynsvirksomheten dreier seg om personvern knyttet til informasjonssikkerhet. Datatilsynet har ingen myndighet til å føre tilsyn med REK. Statens helsetilsyn fører tilsyn med medisinsk og helsefaglig forskning og forvaltningen av forskningsbiobanker. Forskningsansvarlig, databehandlingsansvarlig, prosjektleder og annet personell som er involvert i et forskningsprosjekt har opplysningsplikt til tilsynsmyndighetene. Det innebærer å gi tilsynsmyndighetene adgang til virksomhetens lokaler, og uten hinder av taushetsplikten gi 21

og gjøre tilgjengelig for tilsynsmyndighetene alle opplysninger, dokumenter, materiale og lignende som anses påkrevd for utøvelsen av tilsyn med medisinsk og helsefaglig forskning. 22