12 Forskning på helseopplysninger

12.1 Innledning

I dette kapitlet foreslår departementet å oppheve kravet om REKs forhåndsgodkjenning for helseregisterforskning (rene registerstudier), jf. forslaget til unntak i helseforskningsloven § 9 andre ledd. Departementet foreslår å oppheve § 38 første ledd første punktum som sier at opplysninger ikke skal oppbevares lenger enn det som er nødvendig for å gjennomføre prosjektet. Videre foreslår departementet å oppheve bestemmelsene i kapittel 7 om behandling av helseopplysninger som ikke har selvstendig betydning.

Departementet foreslår også å endre helseregisterloven § 19, § 19 a og § 19 e slik at helseopplysninger fra helseregistre skal kunne brukes til forskning, statistikk eller utvikling av beslutningsstøtteverktøy, uavhengig av det enkelte registerets formål. De foreslåtte endringene i helseregisterloven vil ikke få særlige konsekvenser for forskning som gjennomføres på Svalbard. Endringene vil gjelde for forskning på Svalbard så langt den dataansvarlige er etablert i Norge, på samme måte som lovens øvrige regler.

12.2 Oversikt over gjeldende lovgivning

12.2.1 Helseforskningsloven

Helseforskningsloven gjelder for medisinsk og helsefaglig forskning på mennesker, humant biologisk materiale eller helseopplysninger, jf. § 2. Helseopplysninger som samles inn og behandles i et konkret forskningsprosjekt i forskningsregistre omfattes av loven. Helseforskningsloven gjelder derimot ikke for etablering av helseregistre, jf. § 2 andre ledd.

Lovens bestemmelser om forsvarlighet, forskningsprotokoll, sluttmelding og andre organisatoriske krav til forskningen gjelder dermed også forskning på helseopplysninger. Det følger av § 9 og § 33 at medisinske og helsefaglige forskningsprosjekter skal ha forhåndsgodkjenning fra REK. Helseforskningsloven § 2 har en henvisning til personvernforordningen og personopplysningsloven som begge gjelder fullt ut når helseopplysninger brukes i forskning. Lovens kapittel 7 §§ 32 flg. har bestemmelser om forskning på helseopplysninger som henviser til eller som speiler de generelle reglene i personvernforordningen.

12.2.2 Helseregisterloven

Loven gjelder helseregistre

Et helseregister er en strukturert samling av personopplysninger som er tilgjengelige etter særlige kriterier og som inneholder helseopplysninger, jf. helseregisterloven § 2 bokstav c og personvernforordningen artikkel 4 nr. 6.

Helseregisteret kan være etablert med hjemmel i helseregisterloven §§ 8 til 11 eller med andre hjemler.

Typiske helseregistre er opprettet til bruk for forskning, administrasjon, kvalitetsforbedring og helseovervåking, som Kreftregisteret, Norsk pasientregister, Hjerte- og karregisteret, Legemiddelregisteret, befolkningsbaserte helseundersøkelser og medisinske kvalitetsregistre som for eksempel Norsk hjerneslagregister, Nasjonalt hoftebruddregister og Nasjonalt medisinsk kvalitetsregister for barne- og ungdomsdiabetes. Beredskapsregistre etablert med hjemmel i helseberedskapsloven § 2-4 regnes også som helseregistre. Helseregistre som er etablert med hjemmel i samtykke etter personvernforordningen artikkel 6 og artikkel 9 eller kvalitetsregistre med hjemmel i vedtak om dispensasjon fra taushetsplikt er eksempler på andre hjemler som omfattes av helseregisterlovens definisjon av helseregistre, forutsatt at registeret omfattes av helseregisterlovens saklige virkeområde.

Loven gjelder ikke for behandling av helseopplysninger som reguleres av helseforskningsloven eller pasientjournalloven, jf. helseregisterloven § 3 fjerde ledd.

Tilgjengeliggjøring av helseopplysninger

Helseregisterloven §§ 19 flg. fastsetter vilkårene for når opplysninger i et helseregister kan og skal gjøres tilgjengelig for bruk i forskning. Et sentralt vilkår er at bruken skal være innenfor helseregisterlovens og registerets formål og eventuelle samtykker fra de registrerte. Videre må tilgjengeliggjøringen være i samsvar med taushetsplikten. Opplysningene kan bare tilgjengeliggjøres dersom det er ubetenkelig ut fra etiske, medisinske og helsefaglige hensyn. Dersom det er tale om medisinsk og helsefaglig forskning etter helseforskningsloven, må mottakeren ha fått forhåndsgodkjenning fra REK.

Det er i utgangspunktet registerforvalteren (den dataansvarlige) som må vurdere om vilkårene for tilgjengeliggjøring er oppfylt. I tillegg må det eventuelt fattes vedtak om dispensasjon fra taushetsplikten, jf. § 19 e. Dispensasjonsmyndigheten er i loven lagt til departementet, men er i forskrift overført til Helsedataservice, Helsedirektoratet eller REK (se nedenfor).

Helsedataservice

Helsedataservice ved Folkehelseinstituttet er etablert med hjemmel i helseregisterloven § 20 og forskrift om nasjonal løsning for tilgjengeliggjøring av helsedata. Dette er en nasjonal organisatorisk løsning for tilgjengeliggjøring av helsedata til bruk blant annet i forskning.

Hvilke registre som omfattes følger av forskriften § 3 jf. vedlegg til forskriften. Foreløpig gjelder dette Dødsårsaksregisteret, Kreftregisteret, Medisinsk fødselsregister, Meldingssystem for smittsomme sykdommer (MSIS), System for vaksinasjonskontroll (SYSVAK), Norsk pasientregister (NPR), Nasjonalt register over hjerte- og karlidelser, System for bivirkningsrapportering, Kommunalt pasient- og brukerregister (KPR), Legemiddelregisteret og Helsearkivregisteret. Planen er at løsningen på sikt skal utvides til å omfatte flere registre, blant annet befolkningsbaserte helseundersøkelser og nasjonale medisinske kvalitetsregistre.

Løsningen omfatter tilgjengeliggjøring av opplysninger fra disse registrene eller av andre opplysninger som skal sammenstilles med opplysninger fra slike registre.

For opplysninger i registre som omfattes av løsningen, er det Helsedataservice som tar avgjørelser om tilgjengeliggjøring og dispensasjon fra taushetsplikten. Søknader om dispensasjon fra taushetsplikt hvor Folkehelseinstituttet er søker og dataansvarlig, behandles imidlertid av Helsedirektoratet, jf. forskriften § 7 andre ledd. Dette gjelder også søknader om dispensasjon fra taushetsplikten når opplysningene skal brukes i forskning. Søknaden om dispensasjon for forskning behandles av REK for prosjekter som ikke omfattes av løsningen i Helsedataservice.

12.3 Unntak fra kravet om etisk forhåndsgodkjenning ved helseregisterforskning

12.3.1 Gjeldende rett

Når helseopplysninger fra et helseregister skal brukes til medisinsk og helsefaglig forskning må det ofte sendes søknader til flere instanser. Helsedataservice koordinerer søknadsprosessen for en del prosjekter, men ikke alle.

For det første må det sendes en søknad om tilgjengeliggjøring til den virksomheten som er dataansvarlig for det aktuelle registeret (registerforvalteren), jf. helseregisterloven § 19 a. Dersom det skal brukes data fra flere registre, må det sendes tilsvarende flere søknader. Dersom det skal brukes opplysninger som er omfattet av den nasjonale løsningen holder det å sende en søknad til Helsedataservice (helseregisterloven § 20 jf. forskrift om nasjonal løsning for tilgjengeliggjøring av helsedata).

For det andre må det søkes om dispensasjon fra taushetsplikten dersom de registrerte ikke har samtykket eller unntaket fra taushetsplikten i helseregisterloven § 19 b ikke gjelder. Vedtak om dispensasjon fra taushetsplikten fattes av Helsedataservice (eventuelt Helsedirektoratet), eller av REK dersom det aktuelle registeret ikke omfattes av den nasjonale løsningen.

For det tredje må det søkes om forskningsetisk forhåndsgodkjenning fra REK, jf. helseforskningsloven § 9 og § 33. Opplysningene kan ikke tilgjengeliggjøres før forhåndsgodkjenning er innhentet.

I tillegg må den virksomheten som er dataansvarlig for behandlingen av helseopplysninger i prosjektet, ha rettslig grunnlag etter personvernforordningen artikkel 6 og 9 for å kunne motta og bruke opplysningene.

12.3.2 Nordisk rett

Danmark

I dansk rett kreves det ikke godkjenning dersom forskningen kun skal baseres på allerede innsamlede helseopplysninger fra registre («sundhedsvidenskabelige registerforskningsprojekter», jf. lov om videnskabsetisk behandling af sundhedsvidenskabelige forskningsprojekter og sundhedsdatavidenskabelige forskningsprojekter § 14 stk. 2).

Finland

Det er etter finsk rett ikke et krav om etisk forhåndsgodkjenning ved helseregisterforskning, som heller ikke omfattes av helseforskningsloven (lagen om medicinsk forskning 488/1999).

Sverige

Etter svensk rett kreves det på samme måte som i Norge, etisk godkjenning ved forskning som bruker helseopplysninger og andre sensitive personopplysninger (Lag om etikprövning av forskning som avser människor §§ 3 og 6).

På oppdrag fra det svenske Utbildningsdepartementet er det utredet og fremmet forslag om at forskning på helseopplysninger og andre «særlige kategorier» (sensitive) personopplysninger skal unntas fra kravet om etisk forhåndsgodkjenning. Unntaket som foreslås er begrenset, og skal bare gjelde når opplysningene

• 1. avser en forskningsperson som är över 18 år och lämnas av personen efter att ett informerat samtycke har inhämtats,

• 2. avser en forskningsperson som är över 18 år och har getts allmän spridning, eller

• 3. finns i allmänna handlingar och inte är sekretessreglerade.

I samtliga fall krävs att forskningen endast innebär en ringa risk för enskilds hälsa eller säkerhet eller för intrång i enskilds personliga integritet.

Regeringskansliet, Utbildningsdepartementet: En ny lag om forskningsetiska krav på och etikprövning av forskning som avser människor, Ds 2024:21

Forslaget gjelder alle typer forskning som omfattes av etikkprøvingsloven, dvs. ikke bare helseforskning. Unntaket skal bare gjelde dersom deltakerne har samtykket og bare dersom forskningen innebærer en liten risiko for krenking av personlig integritet eller for helse og sikkerhet. Forskningsinstitusjonens eget ansvar for forskningsetikken skal presiseres i loven. Forskeren skal uansett ha rett til å søke om etisk godkjenning dersom dette ønskes.

12.3.3 Tidligere forslag og vurderinger

Flertallet i Helsedatautvalget foreslo i sin rapport fra 2017 å unnta rene registerstudier fra kravet om REKs forhåndsgodkjenning (Et nytt system for enklere og sikrere tilgang til helsedata, punkt 5.2). Utvalgets rapport ble sendt på høring.

Samme forslag ble sendt på høring i 2020 av departementet i forbindelse med endringene i helseregisterloven om tilgjengeliggjøring av helsedata. Departementet kom den gang til at kravet om forhåndsgodkjenning burde videreføres. Det ble vist til at det hadde vært delte meninger om dette i begge høringene, men at mange, også i forskningsmiljøene, mente at REK-godkjenningen fremdeles hadde en viktig funksjon også for rene registerstudier (Prop. 63 L (2019–2020) punkt 11.4.8). Departementet uttalte videre:

Dette bør heller vurderes når Helsedataservice er etablert og vi har fått erfaringer med hvordan den nye løsningen fungerer med hensyn til ivaretakelse av forskningsetiske hensyn og tidsbruk ved behandling av søknader om tilgjengeliggjøring. Det kan da vurderes om kravet om en ekstern forskningsetisk vurdering for rene registerstudier bør oppheves, alternativt om denne oppgaven bør overføres til Helsedataservice.

Forslaget ble fremmet på nytt i 2022 av ekspertgruppen som vurderte de juridiske og etiske rammene for kunnskapsinnhenting i kriser.

12.3.4 Forslaget i høringsnotatet

Departementet foreslo et unntak fra kravet om REKs etiske forhåndsgodkjenning for rene registerstudier, dvs. forskning som kun baseres på opplysninger fra helseregistre som reguleres av helseregisterloven. Unntaket skulle ikke gjelde opplysninger fra spørreskjema eller fra pasientjournaler og andre behandlingsrettede helseregistre. Helseforskningslovens øvrige krav skulle etter forslaget fremdeles gjelde.

12.3.5 Høringsinstansenes syn

Høringsinstansene er delt i synet på forslaget.

Høringssvar som støtter forslaget

Høringsinstanser som støtter forslaget er blant andre Helsedirektoratet, Folkehelseinstituttet, Den nasjonale forskningsetiske komité for samfunnsvitenskap og humaniora (NESH), Direktoratet for medisinske produkter (DMP), Helse Vest RHF, Helse Nord RHF, Helse Midt-Norge RHF, Helse Sør-Øst RHF, Helse Bergen HF, Oslo universitetssykehus HF, Senter for klinisk dokumentasjon og evaluering (SKDE), Sikt, OsloMet, Universitetet i Agder, Universitetet i Innlandet, STAMI, Oslo Cancer Cluster, Legeforeningen, NorTrials, Unio, Landsforeningen for hjerte- og lungesyke (LLH), Novartis Norge AS, Norce og Legemiddelindustrien.

Direktoratet for medisinske produkter (DMP) mener at dette vil være viktig for å kunne gjennomføre analyser raskt nok til å dekke behovet for bedre kunnskapsgrunnlag.

Senter for klinisk dokumentasjon og evaluering (SKDE) er enig i at kravet om forhåndsgodkjenning fra REK bør oppheves av hensyn til sammenheng i reglene:

Dette vil etter vår vurdering ikke i seg selv svekke deltakerens tillit til bruk av registerdataene. I likhet med Helsedatautvalget vurderer SKDE at forskning på rene registerdata generelt ikke innebærer større etiske utfordringer enn behandling av helseopplysninger til andre formål, som for eksempel statistikk, helseanalyser, styring og planlegging, kvalitetsforbedring av tjenestene og beredskap. […] SKDE er også enig med departementet i at fjerning av kravet vil kunne spare REK for en del «unødig» saksbehandling, slik at REKs ressurser i større grad frigjøres til prosjekter hvor de etiske utfordringene er større og krever REK sin særlige kompetanse.

Direktoratet for medisinske produkter (DMP), Sikt mfl. mener at ansvaret for å ivareta personvernet, individets rettigheter og øvrige etiske problemstillinger ved helseregisterforskning kan ivaretas gjennom personvernregelverket, helseregisterloven og forskningsetikkloven.

Helse Midt-Norge RHF

er enig i at potensiell ulempe og risiko for de registrerte i observasjonelle helseregisterstudier er betydelig lavere sammenliknet med studier som innebærer intervensjon eller direkte kontakt med forskningsdeltagere. HMN støtter derfor å forenkle prosessen med tilgang til registerdata. En mulig utilsiktet konsekvens vil imidlertid kunne være at nye barrierer vil oppstå hos Helsedataservice og registereiere. Slik situasjonen er i dag er det her prosessen i stor grad stopper opp og hvis fravær av forhåndsgodkjenning fra REK fører til en strengere praksis hos Helsedataservice og registereier vil forslaget til endring forverre dagens situasjon ytterligere. Et annet moment er at dette vil kunne øke behovet for oppbygging av lokale etiske komiteer. Det er usikkert om dette totalt sett er kostnadseffektivt sammenliknet med dagens praksis og usikkert om uavhengighet og mulige interessekonflikter vil bli ivaretatt på en like god måte.

Sikt påpeker at

prosjekter som kun involverer helseopplysninger fra eksisterende registre som regel innebærer mindre forskningsetisk risiko. Den største risikoen gjelder krenkelse av den registrertes integritet, ved at personidentifiserende helseopplysninger behandles og potensielt kan komme på avveie og/eller bli brukt til ulovlige formål, eller at forskningen bidrar til å stigmatisere grupper.

Denne risikoen gjelder generelt for registerstudier på helseopplysninger, også for studier som faller utenfor helseforskningsloven. I kraft av våre oppgaver som personvernrådgiver for sektorene ser vi mange og store registerstudier som behandler helseopplysninger uten å være omfattet av helseforskningsloven. Vi kan ikke se at de personvernmessige og forskningsetiske risikoene ved slike studier skiller seg vesentlig fra registerstudiene som reguleres av helseforskningsloven.

Vi ser også at risikoene allerede håndteres godt av forskningsinstitusjonene, i samråd med personvernombudet og personverntjenestene de benytter, samt ressursene de har innen forskningsetikk.

HelseOmsorg21-rådet:

Forslaget er i tråd med flere innspill rådet har fått i en kartlegging rådet har gjennomført om flaskehalser for tilgang til helsedata. Det ble påpekt at REK og Helsedataservice (HDS) gjør mange av de samme vurderingene, men at det er uklart hvem som bestemmer hva. Det er en stor utfordring at det sendes ulike signaler fra ulike instanser (REK, HDS, registerforvaltere) slik at det brukes tid på å avklare ansvar og hva som er riktig regelfortolkning. […] Deler av rådet påpeker samtidig at mange registerstudier ikke blir godkjent av REK i dag og de er derfor bekymret for at dårlige protokoller og forskning vil kunne øke hvis kravet om forhåndsgodkjenning fra REK oppheves.

Oslo universitetssykehus HF støtter forslaget, selv om dette vil medføre ytterligere krav til forskningsansvarlig virksomhet sine rutiner og internkontroll. Helse Midt-Norge RHF peker på at det vil kunne øke behovet for oppbygging av lokale etiske komiteer.

Oslo Cancer Cluster mener at endringen vil forenkle prosessen og likestille Norges REK-prosess med Finland og Danmark.

Høringssvar som er imot forslaget

Det er også en rekke høringsinstanser som er imot forslaget om å unnta rene registerstudier fra kravet om REKs forhåndsgodkjenning. Blant disse er Datatilsynet, Regionale komiteer for medisinsk og helsefaglig forskningsetikk (REK), Den nasjonale forskningsetiske komité for medisin og helsefag (NEM), Foreningen for funksjonshemmede (FFO), Nord universitet, Norges teknisk-naturvitenskapelige universitet (NTNU), St Olavs Hospital HF, Nasjonalt traumeregister, Felles redelighetsutvalg (for Oslo universitetssykehus, Akershus universitetssykehus HF og Institutt for klinisk medisin ved Universitetet i Oslo), Norsk kiropraktorforening, HivNorge og Norges Farmaceutiske Forening.

Datatilsynet er ikke enige i at risikoen er lavere ved registerforskning enn ved annen medisinsk og helsefaglig forskning. Tilsynet mener at REK har en viktig rolle for å ivareta de rettslige rammene, at REK bør vurdere nytteverdien ved prosjektene og at REK-godkjenningen styrker tilliten til forskningen og sikrer forskningsdeltakernes rettsvern og sikkerhet. Tilsynet uttaler videre:

Det er ikke gitt at det å fjerne REKs […] etiske godkjenning vil forenkle de formelle prosessene knyttet til medisinsk og helsefaglig forskning. Vi tror en REK-godkjenning vil medføre at prosessen hos registerforvalter eller Helsedataservice går raskere. Etter vårt syn, kan en REK-godkjenning skape sikkerhet for forskningsinstitusjonene, forskningssamarbeid kan oppleves tryggere, og det kan bli enklere å få publisert forskningen i vitenskapelige tidsskrifter.

Datatilsynet sier videre at de

kan forstå argumentet med at registerforsking kan fremstå mindre inngripende ovenfor enkeltindividet enn direkte inngrep eller innhenting av helseopplysninger. Vi er likevel av den oppfatning at det fortsatt er et behov for å foreta en etisk vurdering av forskning på helseopplysninger hentet fra registre. […] I dag er det vesentlig enklere å håndtere store datasett enn tidligere, og den teknologiske utviklingen vil bare øke. Dette vil igjen kunne gjøre det enklere å identifisere enkeltpersoner i store datasett. Utfordringer med bakveisidentifisering, men også etiske aspekter, vil kunne øke med registeropplysninger. Vi mener derfor at det er behov for en etisk godkjenning for å benytte helseopplysninger til forskning. […]

REK-godkjenning er viktig for å opprettholde tilliten til alle helseregistre, som har blitt opprettet for å benyttes til blant annet forskning. Norge har en rekke personidentifiserbare helseregistre. Tillit til forvaltningen av registrene er essensiell for opprettelsen og ivaretakelsen av slike registre. Ved opprettelsen av de helseregistrene, har krav om REK-godkjenning vært en sentral forutsetning for å tilgjengeliggjøre registerdata til forskningen. Det er ikke gitt at vi hadde hatt alle de helseregistrene vi har i dag uten den garantien REKs godkjenningsordninger innebærer.

Den nasjonale forskningsetiske komité for medisin og helsefag (NEM) oppfatter forslaget som en forholdsvis stor endring av helseforskningsloven. Vurderingen etter helseregisterloven § 19 a om at opplysninger bare kan tilgjengeliggjøres «dersom det er ubetenkelig ut fra etiske, medisinske og helsefaglige hensyn» vil kunne bli mer krevende:

Dette er en vurdering som Helsedataservice og registereiere i liten grad bruker tid på så lenge det foreligger en etisk forhåndsgodkjenning fra REK. Dersom slik godkjenning ikke lenger foreligger, må helseforvaltningen gjøre vurderingene selv. I den grad det ikke foreligger kompetanse knyttet til etiske vurderinger hos saksbehandlerne, må slik kompetanse bygges opp.

Regionale komiteer for medisinsk og helsefaglig forskningsetikk (REK) mener at forslaget er i strid med Helsinkideklarasjonen og vil svekke forskningsdeltakernes rettsvern og sikkerhet:

Så vidt REK er kjent med oppfyller ikke saksbehandlingen i HDS [Helsedataservice] disse kravene. Ved å ta ut REK i denne prosessen ofrer man vurderingen av en uavhengig komité. Dette er noe av bakgrunnen for legitimeringen av store sentrale helseregistre uten samtykke eller reservasjonsrett. REK fungerer som portvokter og diskuterer etikken i prosjektet som henter ut sensitive opplysninger om potensielt alle norske borgere før de blir tilgjengeliggjort for forskere i inn- og utland […]. HDS er også en uavhengig instans, men de er ikke en tverrfaglig, bredt sammensatt komité som er satt sammen for å vurdere etikken spesielt. […]

Det er også en mangel i lovforslaget at det ikke er hensyntatt at det finnes mange små registre hvor tilgangen kan medføre fare for bakveisidentifisering. Ett eksempel er opplysninger i Legemiddelregisteret om bruk av HIV-medisin, der for eksempel utenlandske legemiddelprodusenter ønsker tilgang på helsedata for kommersielt bruk. Da vil det være behov for en bred etisk vurdering der det må vurderes om formålet med prosjektet er å skaffe til veie ny kunnskap om sykdom og helse, eller om det bakenforliggende formålet er å gi utenlandske legemiddelprodusenter tilgang på helsedata til kommersiell bruk.

Nord Universitet:

Hvis REK verken vurderer lovligheten eller gjør en forskningsetisk forhåndsvurdering av registerforskning, må dette gjennomføres av forskningsinstitusjonene selv. Dette vil […] føre til en overbyråkratisering ved forskningsinstitusjoner, som er lite hensiktsmessig. Også dette endringsforslaget kan bidra til å svekke tilliten til medisinsk og helsefaglig forskning, da ingen uavhengig instans står for overnevnte kontroll og vurdering. Det er selvsagt at forskningsinstitusjonene har et selvstendig ansvar for å følge lover og regler, men dét er likevel ikke et gyldig argument for å redusere REKs kontrollfunksjon.

St. Olavs Hospital HF sin erfaring er at

REKs saksbehandling normalt ikke medfører større og/eller unødvendige forsinkelser for medisinsk- og helsefaglige forskningsprosjekter. Dersom vurderingene av de forskningsetiske sidene av registerstudier og/eller dispensasjonsmyndigheten for slike studier legges til andre aktører enn REK må forholdene i alle tilfelle legges til rette slik at dette ikke påvirker fremdriften for registerstudier negativt.

Flere høringsinstanser peker på at det før publisering i vitenskapelige tidsskrift kreves at det redegjøres for de etiske godkjenningene som er innhentet i forkant. Høringsinstansene frykter at publiseringsprosessene kan bli mer krevende dersom de norske reglene skiller seg vesentlig fra internasjonale systemer. Selv om kravet om godkjenning forsvinner, bør det ifølge Legemiddelindustrien fortsatt være mulig å be om en vurdering og godkjenning fra REK.

Universitetet i Oslo mener at det vil være

behov for å følge med på hvordan et slikt unntak fra etisk godkjenning påvirker forskningen, f.eks. mht. mulighet til publisering i relevante tidsskrifter, og hvordan det evt. øker belastningen på forskningsinstitusjoner, Helsedataservice el.a. og om det eventuelt gir flaskehalser eller skjevheter mellom forskningsinstitusjoner i muligheten til å gjennomføre helseforskning. Det er viktig å følge med på om all forskning opprettholder samme mulighet til å kunne publisere i gode tidsskrifter og også at denne lovendringen ikke gir opphav til fragmentering av etisk godkjenning til institusjonelle organer eller øker belastningen på Helsedataservice.

12.3.6 Departementets vurderinger og forslag

Departementets forslag

Departementet mener at erfaringene fra covid-19 pandemien, etableringen av Helsedataservice og større bevissthet og kunnskaper om personvern etter at personvernforordningen har vært gjeldende i flere år, tilsier at spørsmålet om REKs forhåndsgodkjenning ved rene registerstudier bør vurderes på en annen måte i dag. Etter en samlet vurdering opprettholder departementet forslaget fra høringen om å oppheve kravet om REKs forhåndsgodkjenning for rene registerstudier, heretter kalt helseregisterforskning.

Departementet foreslår å fastsette et unntak i et nytt andre ledd i helseforskningsloven § 9. Med helseregisterforskning menes prosjekter som bare involverer opplysninger fra helseregistre, ikke behandling av mennesker eller biologisk materiale. Forslaget gjelder også bare prosjekter der opplysningene allerede er samlet inn fra helseregistre som omfattes av helseregisterloven, og ikke opplysninger fra pasientjournaler, spørreskjema osv.

Hovedformålet med å unnta helseregisterforskning fra kravet om REK-godkjenning er å få en raskere og smidigere prosess, der de samme myndighetsvurderingene ikke skal gjøres flere ganger enn nødvendig.

I prosjekter som kun involverer helseopplysninger fra eksisterende registre er den forskningsetiske risikoen som regel mindre enn der det forskes direkte på mennesker eller samles inn nye helseopplysninger eller humant biologisk materiale.

REKs forhåndsgodkjenning gir begrenset tilleggsgevinst i form av mer forsvarlig forskning og vern av forskningsdeltakerne. Departementet viser til at det fremdeles vil være rettslige rammer for behandlingen av opplysningene, og at forskningsinstitusjonene uansett vil ha et selvstendig ansvar for at forskningen ivaretar forskningsetiske og personvernmessige krav etter helseforskningsloven, forskningsetikkloven og personvernforordningen. Forslaget må ses i sammenheng med departementets vurderinger i punkt 7.5 om REKs lovlighetskontroll.

Forskningsprosjektene vil uansett måtte baseres på ekstern vurdering i forkant, av Helsedataservice eller registerforvalterne og eventuelt dispensasjonsmyndigheten, gjennom helseregisterlovens regler om tilgjengeliggjøring. Oppheving av kravet om etisk forhåndsgodkjenning fra REK er mer i samsvar med målet om at de samme myndighetsvurderingene ikke skal gjøres flere ganger. Dette argumentet har imidlertid ikke samme tyngde for de prosjektene som faller utenfor Helsedataservice sin myndighet, slik at det er REK som er dispensasjonsmyndighet. Departementet viser imidlertid til at den nasjonale løsningen etter planen gradvis skal utvides med flere registre.

Forslaget begrunnes nærmere i det følgende.

Forholdet til internasjonale krav

Departementer mener at internasjonale regler ikke stiller et absolutt krav om etisk komitevurdering av helseregisteforskning.

Datatilsynet, Regionale komiteer for medisinsk og helsefaglig forskningsetikk (REK) mfl. mener at Helsinkideklarasjonen stiller et slikt krav også for ren helseregisterforskning, slik at et unntak vil være i strid med deklarasjonen. REK mener at helseregisterforskning må «regnes som «medical research» i Helsinkideklarasjonens forstand, noe blant annet punkt 32 tyder på at er tilfellet» slik at kravet om etisk komitevurdering etter punkt 23 må gjelde:

Også punkt 32 oppstiller et tydelig krav til etisk godkjenning for registerforskning. Riktignok er det ikke gitt at det må være REK som foretar den etiske vurderingen, så lenge en slik vurdering blir foretatt. For dispensasjonssaker kan det hende at vilkåret «etisk ubetenkelig» i helseregisterlovens bestemmelser er tilstrekkelig, slik at HDS i prinsippet kan fungere som etikkomité. For at dette skal være i tråd med deklarasjonens krav må riktignok kravene til etikkomitéens sammensetning oppfylles, jf. Helsinkideklarasjonen punkt 23 (1)-(2): «The committee must have sufficient resources to fulfill its duties, and its members and staff must collectively have adequate education, training, qualifications, and diversity to effectively evaluate each type of research it reviews. The committee must have sufficient familiarity with local circumstances and context, and include at least one member of the general public.» Så vidt REK er kjent med oppfyller ikke saksbehandlingen i HDS disse kravene.

Det foreslåtte unntaket er etter departementets vurdering ikke i strid med Helsinkideklarasjonen. Departementet er enig i at helseregisterforskning må regnes som medisinsk forskning i Helsinkideklarasjonens forstand. Beskyttelse av de registrertes integritet og personvern ved forskning på helseopplysninger var også et tema da deklarasjonen ble revidert i 2024. Deklarasjonens kjerneområde er likevel intervensjoner på mennesker og det er ikke grunnlag for å innfortolke at all sekundærbruk av helseopplysninger krever at det utarbeides en forskningsprotokoll som skal vurderes av REK, på samme måte som annen helseforskning. Det avgjørende må være at det er strenge krav i lovgivningen også til denne typen forskning, og at forskningen blir underlagt ekstern og kompetent kontroll. Departementet mener at personvernreglene og reglene om tilgjengeliggjøring av opplysninger fra helseregistre sikrer dette tilstrekkelig.

Forordning om klinisk utprøving av legemidler gjelder ikke helseregisterforskning, og stiller dermed heller ikke krav om etisk godkjenning for slike studier. Det fremgår likevel av punkt 29 i fortalen til forordning om klinisk utprøving av legemidler at det er «nødvendig at forskningsprosjekter som bygger på slike data, blir gjenstand for vurderinger som er relevante for forskning på data fra mennesker, for eksempel etiske forhold, før de gjennomføres.»

Tilleggsprotokoll nr. 195 til biomedisinkonvensjonen gjelder heller ikke helseregisterforskning, jf. artikkel 2 som avgrenser virkeområdet til inngrep på mennesker.

Departementet viser til at det ikke er krav om etisk forhåndsgodkjenning for helseregisterforskning i Danmark og Finland. Begge disse landene har ratifisert biomedisinkonvensjonen.

Tid- og ressurskrevende søknadsprosesser

Hovedformålet med å unnta helseregisterforskning fra kravet om forhåndsgodkjenning fra REK er å få en raskere og smidigere prosess, der de samme myndighetsvurderingene ikke skal gjøres flere ganger enn nødvendig.

Det er delte meninger om hvorvidt oppheving av kravet om forhåndsgodkjenning fra REK faktisk vil kunne gi gevinst i form av raskere tilgjengeliggjøring. Da Helsedatautvalgets rapport fra 2017 var på høring, var det flere som var uenig med flertallets forslag og argumenterte med at REK-behandlingen i liten grad er årsaken til at det tar lang tid å få forskningsdata. Ekspertgruppen som i 2022 vurderte de juridiske og etiske rammene for kunnskapsinnhenting i kriser, mente etter covid-19 pandemien at oppheving av kravet om REK-godkjenning vil kunne gi gevinst i form av raskere tilgjengeliggjøring.

Flere høringsinstanser uttaler at et unntak fra kravet om forhåndsgodkjenning fra REK kan redusere byråkratiske barrierer og gi smidigere og raskere forskningsprosesser (blant annet Folkehelseinstituttet, Direktoratet for medisinske produkter (DMP), Oslo universitetssykehus HF og Oslo Cancer Cluster).

Folkehelseinstituttet viser blant annet til at saksbehandlingstiden vil reduseres:

Den samlede saksbehandlingstiden for slike søknader vil kunne gå ned tilsvarende den tiden som medgår til en forhåndsetisk vurdering hos REK (vanligvis rundt 2-4 måneder). Vi ser også at det i enkelte saker vil spare ytterligere saksbehandlingstid, særlig der det er uoverensstemmelser mellom hva som omsøkes til HDS og hva REK har godkjent. Saksbehandling både hos REK og hos HDS gir til tider utfordringer der vi ser ulikt på problemstillingene søknaden reiser. Vi har bl.a. eksempler på at søker har fått etisk godkjenning fra REK, men får avslag på sin søknad fra HDS fordi HDS har vurdert at prosjektets anmodning om helsedata ikke er i tråd med personvernkrav. Dette medfører mye ekstra dialog, øker saksbehandlingstiden betraktelig, og gir uforutsigbarhet for søker. Å unngå dobbeltbehandling vil både redusere saksbehandlingstiden, men det vil også gi mer forutsigbarhet for søker.

Universitetet i Oslo mener derimot at det ikke er forhåndsgodkjenning fra REK som er den største tidsutfordringen ved helseregisterforskning. Ifølge Helse Midt-Norge RHF kan endringen skape nye barrierer hos Helsedataservice og registerforvalterne, siden situasjonen i dag er at det er her prosessen i stor grad stopper opp.

Departementet mener at kravet om forhåndsgodkjenning fra REK for helseregisterforskning er unødig byråkratiserende. Kravet betyr at det ikke lenger er «én vei inn», noe som i sin tid var et viktig formål med helseforskningsloven. Gjeldende regler om personvern og taushetsplikt, betyr at det må sendes søknader til flere instanser, som delvis vurderer de samme spørsmålene. Det vil være overlapp mellom de vurderingene som REK gjør og de vurderingene som skal legges til Helsedataservice eller registerforvalteren. I noen tilfeller kan de ulike instansene også komme til ulike konklusjoner.

Avhengig av hvor lang tid søknadsprosessen og REKs saksbehandling tar, vil en oppheving av kravet kunne hindre forsinkelser i de helseforskningsprosjektene som benytter eksisterende data fra registre. Samtidig vil det kunne frigjøre tid og ressurser hos REK til krevende etiske vurderingene knyttet til for eksempel intervensjoner og innsamling av nye data, hvor forskerne vil trenge REKs bistand.

Behovet for en ekstern vurdering

All innsamling, forskning og annen behandling av helseopplysninger er i seg selv et inngrep i de registrertes privatliv eller personlige integritet. Forskning på helseopplysninger kan omfatte behandling av store mengder sensitiv informasjon fra store deler av landets innbyggere. Det vil alltid være en større eller mindre sannsynlighet for at opplysningene kan komme på avveie eller brukes til ulovlige formål, for eksempel til å identifisere enkeltindivider eller til å stigmatisere grupper av personer, som kan få alvorlige faktiske konsekvenser. Det er heller ikke nødvendigvis slik at alle forskningsprosjekter som er lovlige etter personvernreglene, også er forsvarlige og gode prosjekter. Det kan heller ikke utelukkes at noen vil ønske data for illegitime forskningsformål eller at forskere har ikke-legitime egeninteresser eller finansielle bindinger til sine prosjekter.

Personvernforordningen artikkel 9 nr. 2 bokstav j krever derfor at det fastsettes egnede og særlige tiltak for å verne de registrertes grunnleggende rettigheter og interesser dersom forskning som innebærer behandling av helseopplysninger skal tillates.

Som Datatilsynet påpeker i høringen, er forhåndsgodkjenningen fra REK et tiltak for å verne forskningsdeltakerne og å sikre lovlig og forsvarlig bruk av helsedata i forskning.

Helsedirektoratet har i sitt høringssvar pekt på hensynet til de registrertes autonomi ved forskning på genetiske opplysninger. I slik forskning vil det kunne komme opp kunnskap som ikke er kjent for den registrerte (prediktiv informasjon). Det er noe annet enn å forske på helseopplysninger som man kan anta er kjent for den registrerte, selv om forskningen på sammenstilte opplysninger for eksempel kan avdekke risikofaktorer som ikke var kjent som det.

Departementet er enig i at det er behov for særlige tiltak for å verne forskningsdeltakerne også ved helseregisterforskning og at den forskningsetiske godkjenningen kan være et slikt tiltak.

Krav om forhåndsgodkjenning fra REK bidrar til å ivareta befolkningens tillit til både datakildene (helseregistrene mv.) og registerforskningen. En uavhengig etisk vurdering kan ha betydning for legitimitet, forsvarlighet og tillit. Dette gjelder særlig på områder som kan eller blir oppfattet som omstridte eller kontroversielle. Helseforskning skiller seg fra andre formål, og har derfor en annen forvaltning som innebærer forhåndsgodkjenning. I helseregisterforskning er samfunnsinteressen det sentrale og opplysningene brukes som et middel for å frembringe ny kunnskap, samtidig som hensynet til deltakernes velferd og interesser skal ivaretas. Dette skiller seg vesentlig fra helsetjenesten ellers, der pasienten er i fokus og opplysningene brukes for å yte helsehjelp til den enkelte. Forskningen har et misbrukspotensial ved at den kan tippe over til å utnytte mennesker. Kravet om etisk forhåndsvurdering og -godkjenning er, på samme måte som kravet om samtykke, etablert for å unngå at forskningsdeltakerne utelukkende blir et middel.

Oppheving av kravet om forhåndsgodkjenning fra REK vil bety at vurderingen av om behandlingen av opplysningene er lovlig og forsvarlig, forskyves fra REK til forskningsinstitusjonen og til Helsedataservice eller registerforvalteren. Et slikt system som i større grad baserer seg på tillit til at alle forskningsaktører er kvalifiserte og har evnen til å regulere seg selv, vil ifølge mindretallet i Helsedatautvalget være svært sårbart (Et nytt system for enklere og sikrere tilgang til helsedata (2017) punkt 5.2). Dette er imidlertid et slikt system som personvernforordningen er basert på.

Et annet spørsmål er om personvernreglene er tilstrekkelige for å sikre forsvarlig helseregisterforskning. Helseregistrene inneholder store mengder sensitiv informasjon om landets innbyggere. Det kan derfor hevdes at det trengs en uavhengig portvokter for å sikre innbyggernes og samfunnets interesser i at forskning som gjennomføres er etisk forsvarlig. Personvernforordningen legger stor vekt på forskeres egenvurdering av prosjektets forsvarlighet, og ved lovbrudd vil Datatilsynet kunne gripe inn og eventuelt ilegge gebyr. En uønsket situasjon er da at skaden allerede har inntruffet når opplysningene er gjort tilgjengelig for forskerne, med potensielt store konsekvenser for de involverte og svekket tillit til registrene og forskningen i befolkningen som resultat.

Hensynet til forskningsdeltakerne ivaretas på andre måter

Departementet mener at hensynet til forskningsdeltakerne og til forsvarlig forskning, er tilstrekkelig ivaretatt gjennom andre typer tiltak enn REKs etiske forhåndsgodkjenning.

I prosjekter som kun involverer helseopplysninger fra eksisterende registre, er den forskningsetiske risikoen som regel mindre enn dersom det interveneres/forskes direkte på mennesker eller samles inn nye helseopplysninger eller humant biologisk materiale. For enkeltindividet vil den største risikoen være at den registrertes integritet kan krenkes. Dette hensynet skal ivaretas av taushetsplikten, helseregisterloven og personvernreglene, og vurderinger fra registerforvalter/Helsedataservice og dispensasjonsmyndigheten.

Den vesentligste forskningsetiske vurderingen som må gjøres i helseregisterforskning omhandler ofte sannsynligheten for bakveisidentifisering, med de konsekvenser det kan innebære for de registrertes integritet og vern. Risikoen bestemmes av mengden data som tilgjengeliggjøres for hvert individ. REK vurderer i dag antall personer som inngår i forskningsprosjektet, men gjør ikke grundige vurderinger av hvilke datavariabler som skal benyttes, altså mengden av data per individ. Det er imidlertid mengden av data som gjerne representerer utfordringen for bakveisidentifisering i store forskningsprosjekt hvor opplysninger fra ulike registre er sammenstilt på individnivå. Dette er vurderinger som også gjøres ved behandlingen av søknader om tilgjengeliggjøring av helseopplysninger fra helseregistre.

Departementet viser til forskningsetikkloven og helseforskningsloven som krever at forskere skal opptre med aktsomhet for å sikre at all forskning skjer i henhold til anerkjente forskningsetiske normer.

Det er også slik at de vanskeligste spørsmålene i denne typen prosjekter i hovedsak er knyttet til personvernspørsmål. Også her har forskningsinstitusjonen som dataansvarlig et selvstendig ansvar for at sin behandling av helseopplysninger i prosjektet er i samsvar med de strenge kravene etter personvernreglene. Forskningsinstitusjonen har etter disse reglene plikt til å rådføre seg med personvernombudet.

Det kan ikke utelukkes at en del forskningsinstitusjoner per i dag ikke har tilstrekkelig kompetanse og ressurser til å gjøre de nødvendige vurderingene på egenhånd. Departementet legger imidlertid til grunn at forskningsinstitusjonene sørger for å opparbeide seg eller innhente den kompetansen som er nødvendig for å ivareta sitt ansvar for at forskningen og databehandlingen blir lovlig og forskningsetisk forsvarlig.

Etiske aspekter av forskningen vil også bli vurdert av Helsedataservice eller registerforvalteren. Når tilgjengeliggjøring av opplysningene ikke er basert på samtykke, skal i tillegg dispensasjonsmyndigheten vurdere prosjektet.

Dermed vil prosjektet og databehandlingen den innebærer bli vurdert av en ekstern aktør i forkant av databehandlingen i prosjektet. Et vilkår et at tilgjengeliggjøringen (og dermed prosjektet) vil være «ubetenkelig ut fra etiske, medisinske og helsefaglige hensyn», jf. vilkårene i § 19 a og § 19 e. Videre kan det settes som vilkår for tilgjengeliggjøring at mottakeren «setter i verk særlige tiltak for å verne den registrertes grunnleggende rettigheter og interesser». Slike tiltak kan for eksempel være knyttet til informasjon til forskningsdeltakerne eller til lagringsbegrensning.

Departementet viser også til at REK som forvaltningsorgan har en veiledningsplikt, jf. forvaltningsloven § 11.

Harmonisering på tvers av fagfelt

Departementet viser også til at forskning på helseopplysninger ikke generelt innebærer større etiske utfordringer enn behandling av helseopplysninger til andre formål, som for eksempel statistikk, helseanalyse, styring og planlegging, kvalitetsforbedring av tjenestene og beredskap. De etiske utfordringene er normalt heller ikke større der helseopplysninger brukes til helseforskning enn der de brukes til for eksempel helsetjeneste- og velferdsforskning.

Som Den nasjonale forskningsetiske komité for samfunnsvitenskap og humaniora (NESH) peker på i sin høringsuttalelse, er det et paradoks at kravet om forhåndsgodkjenning fra REK for helseregisterforskning bare gjelder medisinsk og helsefaglig forskning og ikke for eksempel helsetjeneste- og velferdsforskning. Det er ofte de samme datakildene/registrene som brukes uavhengig av hvilken merkelapp forskningen har.

Helseforskningslovens særregler betyr at forskning basert på allerede innsamlede helseopplysninger ikke krever godkjenning dersom utfallet ikke er knyttet til helse og sykdom, men for eksempel bruk av helsetjenester eller velferdstjenester. Selv om variablene som inngår i analysen er identiske, kan de tolkes som uttrykk for helse i én studie, mens de i en annen studie tolkes som uttrykk for helsetjenestenes aktivitet (for eksempel fastlegekonsultasjoner).

En endring i helseforskningsloven slik at helseregisterforskning ikke trenger forhåndsgodkjenning fra REK, vil dermed harmonisere rammene for etiske vurderinger på tvers av fagfelt. Utenfor helseforskningen ligger hovedansvaret for etiske vurderinger på forskerne og deres institusjoner, og de etiske komiteene har sjelden en sentral rolle.

Unntaket skal gjelde forskning på opplysninger fra helseregistre

Unntaket skal etter forslaget bare gjelde «ren» helseregisterforskning. Det vil si der prosjektet bare skal bruke helseopplysninger som allerede er samlet inn og ikke selv innhente opplysninger gjennom pasientbehandling, spørreskjema eller på andre måter. Forskningsprosjekter som også involverer forskning på mennesker eller humant biologisk materiale, vil fortsatt kreve REKs forhåndsgodkjenning. REK vil i slike tilfeller også gjøre forskningsetiske vurderinger, og vil eventuelt kunne sette særlige vilkår, knyttet til behandlingen av helseopplysninger i prosjektet.

Hva som menes med helseregistre følger av helseregisterloven § 2: «enhver strukturert samling av personopplysninger som er tilgjengelig etter særlige kriterier, og som inneholder helseopplysninger, jf. personvernforordningen artikkel 4 nr. 6». Helseopplysningene må være lagret systematisk slik at opplysningene om den enkelte kan finnes igjen. Det avgjørende er altså om opplysningene om den enkelte er søkbare.

Unntaket vil dermed gjelde alle registre som er hjemlet i forskrift etter § § 8 til 11, som medisinske kvalitetsregistre, befolkningsbaserte helseundersøkelser, Kreftregisteret, Norsk pasientregister osv.

Det finnes også helseregistre som er etablert etter andre regler. Et eksempel er registre som er etablert med hjemmel i dispensasjon fra taushetsplikten. Disse vil dermed også omfattes av unntaket. Unntaket vil også gjelde forskning på opplysninger fra beredskapsregistre, som utføres som en del av krisehåndteringen. Det følger av helseberedskapsloven § 2-4 at Folkehelseinstituttet, Helsedirektoratet og Direktoratet for strålevern og atomsikkerhet kan etablere registre for å håndtere beredskapssituasjoner. Beredskapsregistre regnes som helseregistre etter helseregisterloven § 2. Denne hjemmelen har til nå bare vært brukt én gang, til å etablere Beredt C19 for raskt å kunne fremskaffe nødvendig kunnskap om covid- 19 pandemien. Dette registeret bestod av opplysninger som allerede var samlet inn i helsetjenesten, i lovbestemte helseregistre og medisinske kvalitetsregistre, samt i administrative registre med opplysninger om den norske befolkningen. Beredt C19 bidro betydelig til kunnskapsgrunnlaget under myndighetenes håndtering av pandemien.

Et annet spørsmål er om unntaket bør gjelde alle helseregistre eller bare noen typer registre, for eksempel bare de som omfattes av den nasjonale løsningen for tilgjengeliggjøring av helsedata (Helsedataservice). Det kan hevdes at forskningsprosjekter på opplysninger fra helseregistre der tilgjengeliggjøringen skal vurderes av Helsedataservice eller registerforvalteren, i motsetning til andre prosjekter, vil være gjenstand for en tilstrekkelig ekstern vurdering.

Departementet mener at unntaket fra kravet om forhåndsgodkjenning fra REK likevel bør gjelde alle helseregistre, med henvisning til at øvrige argumenter som taler for unntaket har relevans for alle slags helseregistre.

Helsedirektoratet mener at forskning på genetiske opplysninger fortsatt bør ha en etisk forhåndsgodkjenning av REK før de kan tilgjengeliggjøres til forskningsprosjekter. Direktoratet viser til at ved forskning på genetiske opplysninger kan det komme opp kunnskap som ikke er kjent for den registrerte (prediktiv informasjon). Det er noe annet enn å forske på helseopplysninger som man kan anta er kjent for den registrerte, selv om forskningen på sammenstilte opplysninger for eksempel kan avdekke for eksempel risikofaktorer som ikke var kjent som det. Opplysningenes karakter og det at det kan være vanskelig å overskue fremtidige konsekvenser av det brede samtykket som deltakeren har gitt ved innsamlingen av opplysningene (og materialet), taler ifølge direktoratet for at REK bør forhåndsgodkjenne slike prosjekter av hensyn til prosjektdeltakernes velferd og integritet.

Departementet ser at forskning på genetiske opplysninger reiser særlige forskningsetiske spørsmål. Departementet mener likevel at det ikke er grunnlag for å skille ut forskning på slike opplysninger sammenliknet med andre særlig sensitive opplysninger. Forskningsdeltakernes velferd og integritet kan ivaretas på andre måter enn ved REK-godkjenning. Her kan det vises til blant annet at det kan settes som vilkår for tilgjengeliggjøring av opplysningene fra helseregisteret, at mottakeren setter i verk særlige tiltak for å verne den registrertes grunnleggende rettigheter og interesser (jf. helseregisterloven § 19 a). Et slikt vilkår kan være at det skal bli gitt tilbakemelding til deltakeren om forskningsresultater. Videre kan opplysningene bare tilgjengeliggjøres dersom det er ubetenkelig ut fra etiske, medisinske og helsefaglige hensyn. For forskningsprosjekter hvor bioteknologiloven kommer til anvendelse etter bioteknologiloven § 1-2 andre ledd kan det ikke forskes på genetisk prediktive opplysninger uten et eksplisitt samtykke jf. bioteknologiloven § 5-8 tredje ledd. I slike studier kan det derfor ikke innvilges et unntak fra taushetsplikten etter helseregisterloven § 19 e.

Folkehelseinstituttet, Oslo Universitetssykehus HF, Universitetet i Oslo, Universitetet i Innlandet, Sykehuset i Vestfold HF, Legemiddelindustrien, Novartis Norge AS mfl. mener at departementet bør vurdere å utvide unntaket til å gjelde flere registre enn de som er etablert med hjemmel i helseregisterloven.

Departementet er enig i at unntaket bør gjelde tilsvarende for forskning der demografiske og sosioøkonomiske personopplysninger i Folkeregisteret og andre offentlige registre skal sammenstilles med opplysninger fra helseregistre. Dette er tilsvarende utvidelse som er lagt til grunn i helseregisterlovens regler om sammenstilling og tilgjengeliggjøring, som for eksempel § 19 c og § 20.

Departementet mener derimot at unntaket ikke bør gjelde dersom prosjektet henter opplysninger fra pasientjournaler eller direkte fra forskningsdeltakerne for eksempel gjennom spørreskjema. Pasientjournaler kan omfatte helseopplysninger i form av ulike typer data; strukturert eller ustrukturert tekst, tall, bilder, film og lydopptak mv. om den enkelte pasienten, og som brukes til administrasjon, ytelse og dokumentasjon av helsehjelp. Helseregistrene omfatter derimot bestemte opplysninger som er utvalgt og innsamlet etter nærmere definerte kriterier med sikte på bruk til sekundærformål. Det er dermed en mye større detaljrikdom i pasientjournalen enn i helseregistre. Forskning som omfatter opplysninger fra pasientjournaler, bør derfor fremdeles forhåndsvurderes av REK.

Helseforskningslovens øvrige krav bør fortsatt gjelde

Et annet spørsmål er om helseforskningslovens øvrige regler fortsatt bør gjelde, når det viktigste delen av loven – den etiske godkjenningen – ikke skal gjelde.

Departementet mener at helseregisterforskning fortsatt bør omfattes og reguleres av helseforskningsloven. Forsvarlighetskravet i § 5 og forskerens ansvar etter denne bestemmelsen må fortsatt gjelde. Her kan det vises til at Helsinkideklarasjonen, som ligger til grunn for forsvarlighetskravet, også omfatter helseregisterforskning. Andre viktige regler er knyttet til organisering, åpenhet, tilsyn osv., som etter departementets syn fortsatt bør gjelde for helseregisterforskning.

Departementet foreslo i høringsnotatet at det fortsatt skulle være plikt til å sende forskningsprotokoll og sluttrapport til REK. Dette skulle sikre åpenhet rundt forskningsprosjektene, men REK skulle ikke ha myndighet til å godkjenne, stanse eller sette vilkår.

Noen høringsinstanser mener dette vil være unødvendig byråkratiserende og gi liten gevinst. Forskningsrådet mener at det bør være en konkret hensikt med dette kravet, for eksempel at det vil være enkelt å få oversikt over pågående og avsluttede prosjekter. HelseOmsorg21-rådet påpeker også at formålet med dette bør være klart, ellers vil det oppfattes det som unødvendig byråkratiserende. Folkehelseinstituttet viser til at REK ikke vil ha myndighet til å godkjenne, stanse eller sette vilkår:

Dette antar vi også gjelder der det gjøres endringer i prosjektet/ protokollen, m.a.o. må det ettersendes ny versjon av dokumentene ved endringer. Folkehelseinstituttet mener at denne plikten til dobbeltdokumentasjon kun bidrar til merarbeid for søker. Der REK heller ikke skal beholde lovlighetskontrollen, som ellers kunne være grunn til å sende REK forskningsprotokollen m.m, virker denne plikten unødvendig byråkratiserende. Åpenhet ivaretas av innsyn fra offentligheten via postlistene til FHI.

Departementet mener at det fremdeles vil være behov for at det utarbeides forskningsprotokoll og sluttmelding. Det er viktig at det utarbeides en forskningsprotokoll, der det fremgår hvilke forskningsetiske vurderinger prosjektet er basert på. Departementet viser også til punkt 12.6.4 der det fremgår at det skal lages en plan for lagring og sletting av helseopplysninger og at denne planen skal tas inn i forskningsprotokollen.

Helseforskningsloven § 44 sier at REK skal føre en offentlig tilgjengelig oversikt over innmeldte og avsluttede forskningsprosjekter. Departementet er i tvil om retten til innsyn i offentlige postlister i samsvar med offentlighetsloven og plikten til å føre protokoll over behandlingsaktiviteter etter personvernforordningen artikkel 30, vil gi tilstrekkelig åpenhet. Oversikten over prosjekter er også nyttig for tilsynsorganer og for andre forskningsinstitusjoner.

12.4 Oppheving av helseforskningslovens bestemmelser om personvern

12.4.1 Helseforskningslovens personvernbestemmelser

Helseforskningsloven kapittel 7 §§ 32 flg. har bestemmelser om forskning på helseopplysninger. Bestemmelsene gjelder all medisinsk og helsefaglig forskning som på en eller annen måte innebærer behandling av helseopplysninger, dvs. all forskning etter helseforskningsloven enten det er ren helseregisterforskning eller forskning der det også forskes på mennesker eller biologisk materiale. Bestemmelsene henviser til eller speiler i hovedsak de generelle personvernreglene.

12.4.2 Høringen

Departementet foreslo i høringsnotatet å oppheve de fleste av helseforskningslovens bestemmelser i kapittel 7 om behandling av helseopplysninger. Begrunnelsen var at disse ikke har selvstendig betydning i forhold til de generelle reglene i personopplysningsloven og personvernforordningen.

Forslaget får støtte fra det store flertallet av høringsinstansene.

Datatilsynet mener derimot at henvisningene til personvernforordningen har en selvstendig verdi og derfor bør videreføres.

Noen høringsinstanser har merknader til § 33 andre ledd om unntak fra plikten til å rådføre seg med personvernombudet dersom REK har gitt forhåndsgodkjenning. Akershus universitetssykehus HF skriver at

endringen innebærer at prosjektene som nå har en lovlighetskontroll hos REK etter § 33, men der databehandlingen ikke medfører høy risiko og dermed har krav til å gjennomføre DPIA, likevel må fremlegges personvernombudet. Det vil kunne føre til lange saksbehandlingstider hos personvernombudet, ettersom prosjektene ikke nødvendigvis blir prioritet. Slike oppgaver kan derfor også tillegges andre med tilsvarende kompetanse.

Sikt mener derimot at

det blir lettere å navigere i regelverket når rådføringsplikten gjelder all forskning på særlige kategorier personopplysninger, uavhengig av om forskningen faller innunder helseforskningsloven eller ikke.

Det er også merknader til forslaget om å videreføre gjeldende regler om at REK behandler klager på avslag om sletting (Helse Vest RHF og NorTrials). NorTrials skriver at det «virker underlig at avgjørelsesmyndighet ved avslag på sletting av helseopplysninger ikke overføres til Datatilsynet, ettersom de besitter fagkompetanse på dette området», samtidig som REKs lovlighetskontroll oppheves.

12.4.3 Departementets vurderinger og forslag

Bakgrunnen for bestemmelsene

Da helseforskningsloven ble vedtatt var det langt færre og mindre omfattende nasjonale og internasjonale personvernregler enn i dag. Bestemmelsene om behandling av helseopplysninger i loven var ment å skulle regulere uttømmende behandlingen av helseopplysninger i forskning. I NOU 2005: 1 God forskning – bedre helse som lå til grunn for loven, ble det uttalt:

Utvalget mener det er et sterkt behov for å samle den rettslige reguleringen av helseopplysninger for forskningsformål, og foreslår derfor et nytt regelsett som vil gjelde i stedet for de nevnte lovene. Både personopplysningsloven og helseregisterloven er omfattende rettslige reguleringer som på flere områder har en større kompleksitet enn det som er begrunnet i tilknytning til medisinsk og helsefaglig forskning.

Det er viktig å etablere en lovgivning som ikke inneholder andre rettsregler enn de det må forventes å være behov for på dette feltet. På den annen side er de nevnte lovene ufullstendige og uklare på områder der det innen medisinsk og helsefaglig forskning krever stor grad av klarhet, […]. Dette gjelder særlig regler vedrørende selvbestemmelsesrett for deltakere i forskningsprosjekter, herunder spørsmål om samtykke til forskning på helseopplysninger. Videre er det behov for å se regler om bruk av helseopplysninger i sammenheng med regler om uttak og bruk av humant biologisk materiale, jf avsnitt 33.3 nedenfor. En egen regulering av bruk av helseopplysninger innen medisinsk og helsefaglig forskning er en forutsetning for å få til en vellykket sammenheng mellom disse regelsettene.

Bestemmelsene om bruk av helseopplysninger i lovutkastet er ment å være en uttømmende regulering av disse spørsmålene innen medisinsk og helsefaglig forskning.

(NOU 2005: 1 punkt 30.1)

Dette er ikke situasjonen i dag. Personvernreglene i personopplysningsloven og EUs personvernforordning er svært omfattende. Helseforskningslovens bestemmelser om personvern er nå først og fremst henvisninger til noen av de generelle personvernreglene.

Departementets forslag

Departementet foreslår at de særlige bestemmelsene i helseforskningsloven om behandling av helseopplysninger oppheves fordi de ikke har selvstendig betydning.

Departementet viser til at dobbeltregulering bør unngås så langt som mulig. Dobbeltregulering er uheldig ikke bare fordi det er tale om et omfattende lovverk slik at lovteksten vil svulme opp. Dobbeltreguleringen vil ikke skape et mer tilgjengelig og oversiktlig lovverk, heller tvert imot. Det er uheldig like mye fordi det er tale om så omfattende regelverk at det nødvendigvis må gjøres et utvalg av relevante krav. Dette kan gi et misvisende inntrykk av hvilke krav som faktisk gjelder.

Forslaget innebærer ingen endring i gjeldende rett da personvernforordningen vil gjelde uansett, jf. også henvisningen til forordningen i § 2.

Departementet vil bemerke at det etter forslaget bare vil stå igjen noen få særregler om forskning på helseopplysninger i kapittel 7, og at også dette kan hevdes å gi et misvisende bilde av hvilke regler som faktisk gjelder. Her er det viktig at kapitlet leses i lys av § 2 som sier at reglene i personopplysningsloven og personvernforordningen gjelder all forskning på helseopplysninger. I motsetning til gjeldende regler vil kapittel 7 da kun ha særregler som har selvstendig betydning og som gir liten mening uten de generelle reglene som bakteppe.

Departementet vurderer de enkelte bestemmelsene i det følgende.

Hovedreglene for behandling av helseopplysninger

Helseforskningsloven § 32 angir hovedreglene for behandling av helseopplysninger. Bestemmelsens første og andre ledd angir vilkår som også følger av personvernforordningen artikkel 5, som kommer i tillegg til den generelle henvisningen til forordningen i § 2.

Departementet mener at § 32 første og andre ledd derfor er overflødige og foreslår at de oppheves. Disse er kun tatt inn av informasjonshensyn. De kan også misforstås. Poenget er at forordningen gjelder all behandling av helseopplysninger. I tillegg har helseforskningsloven noen særlige tilleggskrav for å verne forskningsdeltakerne. Forslaget innebærer ingen endring i gjeldende rett, da personvernforordningen vil gjelde uansett.

I § 32 tredje ledd er det tatt inn en begrensning som er strengere enn forordningen Denne bestemmelsen har derfor selvstendig betydning. Helseopplysninger kan ikke utleveres i forsikringsøyemed, til arbeidsgiver, til påtalemyndighet eller til domstol, selv om den som opplysningene gjelder samtykker til det. Etter forordningen vil et samtykke kunne overstyre utlevering til andre formål enn det opprinnelige, jf. artikkel 6 nr. 1 bokstav a og artikkel 9 nr. 2 bokstav a. I § 32 fjerde ledd er det tatt inn en hjemmel til å fastsette forskrifter om at utlevering av helseopplysninger til påtalemyndighet eller domstol helt unntaksvis kan skje dersom svært tungtveiende private eller offentlige interesser gjør dette rettmessig. Det er ikke fastsatt slike forskrifter.

Departementet foreslår at gjeldende regler i § 32 tredje og fjerde ledd videreføres, som ledd i å sikre nødvendig tillit til både datakildene (helseregistrene mv.) og registerforskningen.

Krav om forhåndsgodkjenning

Kravet om REKs forhåndsgodkjenning ved forskning på helseopplysninger er presisert i § 33 første ledd. Behandling av helseopplysninger i forskningsprosjekter inngår uansett som en del av forhåndsgodkjenningen etter § 9, og bestemmelsen er således overflødig. Departementet foreslår at § 33 første ledd oppheves. Departementet viser også til forslaget i punkt 12.3.6 om et nytt andre ledd i § 9 som gjør unntak fra kravet om etisk forhåndsgodkjenning for helseregisterforskning.

Plikten til å rådføre seg med personvernombudet

Forskningsinstitusjoner har, som dataansvarlig for sin behandling av helseopplysninger i et prosjekt, plikt til å rådføre seg med personvernombudet ved vurdering av personvernkonsekvenser, jf. personvernforordningen artikkel 35 nr. 2.

Personopplysningsloven § 10 og § 11 fastsetter et særlig krav om rådføring med personvernombud eller annen rådgiver. Denne rådføringsplikten gjelder ikke dersom det er utført en vurdering av personvernkonsekvenser etter personvernforordningen artikkel 35. Reglene gjelder også bare de tilfellene der det ikke finnes annen lovgivning som åpner for behandlingen, slik tilfellet ofte er ved forskning på helseopplysninger.

I gjeldende helseforskningslov § 33 andre ledd gjøres det unntak fra denne særlige rådføringsplikten for medisinsk og helsefaglig forskning. I forarbeidene er unntaket begrunnet med at helseforskningslovens krav om forhåndsgodkjenning fra REK gjelder uansett og at dataansvarlige forskningsinstitusjoner likevel må vurdere personvernkonsekvensene og drøfte behandlingen med personvernombudet så langt dette følger av personvernforordningen artikkel 35 (Prop. 56 LS (2017–2018) merknadene til helseforskningsloven § 33 andre ledd).

Sikt mener at det blir lettere å navigere i regelverket når rådføringsplikten gjelder all forskning på særlige kategorier personopplysninger, uavhengig av om forskningen faller innunder helseforskningsloven eller ikke.

Universitetet i Bergen mener at det er

uhensiktsmessig, å legge til grunn at alle helseforskningsprosjekter skal rådføres med personvernombudet […]. Ved registerstudier gjennomføres det rutinemessig personvernkonsekvensvurderinger, ettersom behandlingen av personopplysninger ikke er basert på samtykke fra de registrerte.

Universitetet i Bergen mener videre at det

ikke bør være en automatikk i at alle helseforskningsprosjekter skal rådføres med personvernombudet, uten at det er nærmere begrunnet hva rådføringen om behandlingen av personopplysninger skal omfatte. Personvernombudets rolle er ikke å gjøre en forskningsetisk vurdering av prosjektets formål, metode, og om vilkårene for et samtykke til deltakelse er til stede, men å bistå den behandlingsansvarlige med å håndtere risiko slik at de registrertes rettigheter og friheter ikke krenkes som følge av behandlingen.

Departementet har likevel kommet til at unntaket i gjeldende helseforskningslov § 33 andre ledd bør oppheves. Grunnen til dette er at departementet i punkt 7.5 foreslår at REK ikke skal gjennomføre en lovlighetskontroll ut fra personvernreglene. Det var nettopp denne kontrollen som var begrunnelsen for unntaket.

Endringen som foreslås betyr at eventuell rådføringsplikt etter personopplysningsloven § 10 andre ledd og § 11 vil gjelde selv om det er tale om medisinsk og helsefaglig forskning og selv om REK har gjort en forskningsetisk vurdering av prosjektet. Plikten vil uansett bare gjelde forskning som er hjemlet i disse bestemmelsene. Dette gjelder bare en mindre del av den forskningen som faktisk gjennomføres, fordi samtykke sjelden er behandlingsgrunnlaget ved forskning. I slike tilfeller gjelder ikke den særlige rådføringsplikten etter personopplysningsloven § 10 andre ledd og § 11, som derfor i praksis har liten betydning i helseforskning.

Behandling av helseopplysninger

I § 34 første ledd om sammenstilling, tilgjengeliggjøring og annen behandling av helseopplysninger, presiseres det at mottakeren må ha adgang til å behandle opplysningene «i tråd med forskningsprosjektets formål, eventuelle samtykker, forhåndsgodkjenningen etter § 33 og i samsvar med forskningsprotokollen». Mottakeren vil ha adgang til å behandle opplysningene for eksempel dersom det er innhentet samtykke eller dersom det er fattet et vedtak om dispensasjon fra taushetsplikten (Prop. 56 LS (2017–2018) merknadene til helseforskningsloven § 34). Kravet om samsvar med eventuelle samtykker følger også av forordningen. I tillegg må personvernforordningens vilkår være oppfylt selv om dette ikke er nevnt i bestemmelsen, blant annet kravet om rettslig grunnlag. Det står også i helseregisterloven § 19 a at mottakerens bruk skal være «i samsvar» med registerets formål. Dette vilkåret foreslås modifisert i punkt 12.5.4. Bestemmelsen i § 34 første ledd har ingen selvstendig betydning utover det som følger av loven for øvrig eller av personvernreglene. Departementet foreslår at § 34 første ledd oppheves.

Det følger av § 34 andre ledd at REK som ledd i sin etiske forhåndsgodkjenning kan nekte behandling som er medisinsk eller etisk uforsvarlig. Det samme følger av § 10. Bestemmelsen er derfor overflødig og foreslås opphevet.

Retting og sletting

Helseforskningsloven § 36 regulerer forskningsdeltakerens rett til å kreve retting og sletting av opplysninger. Departementet foreslår at § 36 første, andre og tredje ledd oppheves.

Første ledd viser til personvernforordningen artikkel 16 og 17, og til unntakene i personopplysningsloven § 17 andre og tredje ledd om registrertes rettigheter. Disse reglene gjelder uansett.

I andre ledd presiseres det at prosjektlederen av eget tiltak skal rette uriktige opplysninger, oppdatere foreldede opplysninger og supplere ufullstendige opplysninger. Plikt til å rette, oppdatere og supplere opplysninger følger av personvernforordningen artikkel 5 nr. 1 bokstav d. Dette er en plikt som ligger på forskningsinstitusjonen som dataansvarlig virksomhet for sin behandling av helseopplysninger i prosjektet. Ansvaret påligger den dataansvarlige, uavhengig av hvordan virksomheten har organisert seg og fordelt oppgaver internt, også om dette er lovregulert. Det er derfor ikke nødvendig, og også noe misvisende, at loven fastsetter oppgavefordelingen internt.

I tredje ledd presiseres særlige vilkår for sletting. Uriktige og foreldede opplysninger skal slettes eller endres på en måte som gjør at endringen kan spores. Fullstendig sletting av uriktige og foreldede opplysninger kan bare skje dersom det blir krevd av noen som opplysningene kan få direkte innvirkning på, og slettingen ikke får avgjørende innvirkning på forskningsresultatenes validitet eller representativitet. Disse reglene kommer i tillegg til forskningsdeltakernes rett til å kreve sletting etter forordningen artikkel 17 og den dataansvarliges plikt etter artikkel 5 nr. 1 bokstav d til å slette av eget tiltak. Her kan særlig nevnes unntaket i artikkel 17 nr. 3 bokstav d fra kravet om sletting dersom fortsatt behandling av opplysningene er nødvendig for forskningsformål. Departementet mener at disse reglene er tilstrekkelige.

Fjerde ledd fastsetter hvem i forskningsinstitusjonen som avgjør krav om sletting og at avslag kan påklages til REK. Når det gjelder den interne oppgavefordelingen, viser departementet til argumentasjonen knyttet til en tilsvarende regel i andre ledd.

Forskningsdeltakerens adgang til å klage til REK på avslag på krav om sletting, følger derimot ikke av andre regler. Uten en slik særregel vil forskningsdeltakeren være henvist til å klage til eventuelt overordnet forvaltningsorgan, statsforvalteren eller Datatilsynet.

Departementet mener at REK fortsatt bør vurdere klager på manglende sletting. Et særlig hensyn i forskningsprosjekter er vurderingen av om forskningsformålet er i veien for sletting. Dette er spørsmål som REK er mer kvalifisert til å vurdere enn de nevnte forvaltningsorganene. Departementet foreslår at gjeldende § 36 fjerde ledd flyttes til en ny § 33 om klage ved avslag på krav om sletting.

12.5 Opplysninger fra helseregistre til forsknings- og statistikkformål

12.5.1 Helseregisterloven § 19 a og § 19 e

Opplysninger fra et helseregister kan bare utleveres fra registeret når «opplysningene skal brukes til et uttrykkelig angitt formål som er innenfor registerets formål», jf. helseregisterloven § 19 a og § 19 e. Tilsvarende begrensning er fastsatt i § 19 tredje ledd om tilgjengeliggjøring av statistikk etter søknad. Dette betyr at helseregisterloven og registerforskriftene stenger for bruk av innsamlede opplysninger til formål som ikke omfattes av formålet i det aktuelle registeret.

12.5.2 Forslaget i høringsnotatet

I høringsnotatet ble det foreslått endringer i helseregisterloven § 19 a og § 19 e for å lovfeste at helseregisteropplysninger skal kunne brukes til forskning, statistikk, og til bruk eller utvikling av beslutningsstøtteverktøy, uavhengig av det enkelte registerets formål. Vilkåret er at lovens øvrige krav er oppfylt, blant annet at opplysningene skal brukes til å fremme helse, forebygge sykdom og skade eller gi bedre helse- og omsorgstjenester.

12.5.3 Høringsinstansenes syn

Høringsinstanser som er positive til forslaget er blant andre Folkehelseinstituttet, Helsedirektoratet, Helse Midt-Norge RHF, Vestre Viken HF, Akershus universitetssykehus HF, Oslo Cancer Cluster, KS, Nasjonalt kvalitetsregister for ryggkirurgi, Sikt, Legeforeningen, Tekna, Universitetet i Agder, Norce og Norsk kiropraktorforening.

Helse Midt-Norge RHF mener at dette vil åpne for bærekraftig gjenbruk og mer kostnadseffektiv utnyttelse av allerede innsamlede data.

Oslo Cancer Cluster mener at den foreslåtte endringen

for industrien generelt måtte være et framskritt, spesielt som et beslutningsstøtteverktøy. Det ville bety at det kan bli raskere å sette i gang studier. Et av universitetssykehusene mener at det er positivt for datatilgang om forskningsmuligheter. Andre tilbakemeldinger sier at det gjør oss mer konkurransedyktige i å få kliniske studier til Norge. Det vil også forenkle prosessen med studier på effekt/nytte av ulike verktøy i store representative datasett. Ett norsk selskap mener at en slik presisering er helt essensiell fra et samfunnsperspektiv. […] Det vil ikke være mulig å bruke helsedata effektivt uten at regulatoriske og juridiske hindringer fjernes eller reduseres. For vårt selskap vil dette være svært viktig for våre kunder og brukere av de produktene vi leverer.

Norce uttaler:

Dette vil gjøre det enklere å bruke opplysninger i helseregistrene i tråd med intensjonen bak opprettelsen av registrene. NORCE støtter videre at helseopplysninger kan tilgjengeliggjøres for utvikling og bruk av beslutningsstøtteverktøy i helse- og omsorgstjenesten. NORCE er enig i at det må tas høyde for bruk av KI-verktøy. Maskinlæringsalgoritmer trent på store volumer av helseregisterdata kan gi verdifull kunnskap om for eksempel pasientforløp, symptompresentasjoner og kommunikasjonsmønstre som er assosiert med bedre pasientutfall for ulike tilstander.

Sikt, Legemiddelindustrien og HelseOmsorg21-rådet mener i tillegg at bestemmelsene bør omfatte flere nye formål i tillegg til forsknings- og statistikkformål innenfor helseregisterlovens formål. Formål som nevnes er innovasjon, næringsutvikling, kvalitetsforbedring og utviklingsarbeid. I tillegg nevnes andre forskningsformål som historie, samfunnsvitenskap og idrett.

Datatilsynet og Senter for klinisk dokumentasjon og evaluering (SKDE) er derimot kritiske til forslaget.

Datatilsynet mener at

dette vil fjerne viktige garantier som lå til grunn ved opprettelsen av de ulike helseregistrene. Vi ser igjen grunn til å påpeke at behandling av helseopplysninger i utgangspunktet er forbudt, jf. personvernforordningen artikkel 9 nr. 1. Selv om personvernforordningen har vide muligheter for å benytte data til forskning, betyr ikke det at lovgiver bør legge til rette for tilgjengeliggjøring av registerdata uten å samtidig å ivareta tilstrekkelige garantier og vurderinger. Formålsbegrensingene i de ulike helseregistrene har vært en viktig garanti for å få gjennomslag for å opprette det enkelte registeret. Det er overraskende at departementet vil endre denne grunnleggende garantien uten større vurderinger av de ulike formålene og konsekvensene for de registrerte. Vi oppfatter dette som vesentlige endringer av helseregisterfeltet i favør av forskningen, uten at de registerets rettigheter og friheter synes å få tilsvarende fokus.

Senter for klinisk dokumentasjon og evaluering (SKDE) er bekymret for at dette kan få negative konsekvenser for oppslutningen om, og dermed dekningsgraden for, medisinske kvalitetsregistre:

Nasjonale medisinske kvalitetsregistre inneholder detaljert informasjon om pasienters utredning, behandling og oppfølging. De inneholder informasjon om klinikernes vurdering av pasientens helsetilstand og tiltak, samt pasientens vurderinger av egen helsetilstand og livskvalitet. For nasjonale kvalitetsregistre som omfatter kronikergrupper, samles informasjonen inn gjennom hele livet til pasienten. At pasientene har tillit til at opplysningene håndteres på en trygg måte er avgjørende for at kvalitetsregistrene kan oppnå sitt formål om å forbedre helsetjenesten. Pasientene må ha tillit til at opplysningene om dem brukes til formålet for registeret og ikke til andre formål de ikke er kjent med, og som kunne medført at de ikke ville deltatt i registeret. For noen fagområder som for eksempel hiv, kjønnsinkongruens og psykisk helsevern, hvor pasienter opplever diskriminering eller minoritetsstress og hvor tilliten til helsetjenesten kan være svekket, vil manglende tillit og usikkerhet rundt hva opplysningene kan brukes til kunne medføre at pasientene ikke vil samtykke til, eller reservere seg mot, å delta i et nasjonalt kvalitetsregister. Oppheving av dagens krav om at kvalitetsregisteret bare kan tilgjengeliggjøre opplysningene til et uttrykkelig angitt formål som er innenfor registerets formål, vil kunne medføre at flere pasienter velger å ikke samtykke til eller reserverer seg mot å stå i registeret. Dette vil kunne få konsekvenser for registerets dekningsgrad og gi alvorlige skjevheter i datamaterialet, som i sin tur kan medføre at registeret ikke kan oppfylle sitt formål som et nasjonalt kvalitetsregister.

12.5.4 Departementets vurderinger og forslag

Forslag fra ekspertgruppen for kunnskapsinnhenting i kriser

Ekspertgruppen som i 2022 vurderte de juridiske og etiske rammene for kunnskapsinnhenting i kriser, mente at hjemlene i helseregisterloven for sammenstilling og tilgjengeliggjøring av helseopplysninger fra helseregistre ikke kan brukes ved forskning på tiltak i en krise der en ønsker å se på sammenhenger mellom helse og andre forhold, for eksempel utdanning eller bruk av kulturtilbud:

Helseregisterlovens strenge regler setter begrensninger for deling av helseregisterdata til forskning som ikke er helsefaglig, for eksempel til utdanningsforskning. Helseregisterloven gir heller ikke hjemmel for å sammenstille helseopplysninger i helseregistre med opplysninger i andre registre (bortsett fra demografiske og sosioøkonomiske personopplysninger i Folkeregisteret og andre offentlige registre, jf. helseregisterloven § 19 c). Dersom opplysninger i helseregistre skal sammenstilles og deles for andre formål som ikke kan hjemles i helseregisterloven, krever dette en annen hjemmel. Vi har noen slike hjemler, som vil dekke noen krisesituasjoner, som for eksempel helseberedskapsloven § 2-4 eller personopplysningsloven § 8 og § 9. […]

Personvernforordningen artikkel 5 nr. 1 bokstav b sier at viderebehandling ikke skal være «uforenlig med det opprinnelige formålet», og at forskning, analyse og statistikk ikke skal anses som uforenlig med det opprinnelige formålet. Reglene i helseregisterloven er dermed strengere enn det personvernforordningen krever. Dette fordi kravet i helseregisterloven om at viderebruken må være innenfor formålet med registeret, gjelder selv om viderebruken ikke er uforenlig med det opprinnelige formålet.

Gruppen mener at adgangen til viderebehandling til andre formål enn det opprinnelige formålet, ikke bør være strengere enn det forordningen krever. Slike skjerpede krav kan være en hindring for legitim kunnskapsinnhenting i kriser som ikke er uforenlig med formålene til registrene. Gruppen mener derfor at det bør vurderes endringer i helseregisterloven og helseregisterforskriftene som avklarer forholdet til andre regler, og som fastsetter at opplysninger alltid kan tilgjengeliggjøres og sammenstilles for forsknings-, analyse- og statistiske formål dersom lovens øvrige vilkår er oppfylt.

Juridiske og etiske problemstillinger knyttet til innsamling, tilgjengeliggjøring, deling og bruk av data, samt bruk av randomiserte forsøk, i kriser, 2022 side 31–32.

Departementets vurdering og forslag

Departementet legger til grunn at det er adgang etter personvernforordningen til å endre formål i registerforskriftene med virkning for allerede innsamlede opplysninger, jf. artikkel 5 nr. 1 bokstav b om at forsknings-, statistikk- eller arkivformål ikke er uforenlig med det opprinnelige formålet.

Departementet mener at reglene bør endres slik at opplysninger i helseregistre kan tilgjengeliggjøres for bruk til andre formål, uavhengig av registerets formål. Det vises til at de norske reglene setter strengere rammer enn det personvernforordningen krever.

Som noen høringsinstanser har påpekt kan opplysninger i helseregistre være relevante også til andre forskningsformål som helsetjenesteforskning eller for eksempel historie, samfunnsvitenskap og idrett.

Departementet mener at bruken av helseregistrene bør begrenses til formål for å fremme helse, forebygge sykdom og skade eller gi bedre helse- og omsorgstjenester, jf. helseregisterlovens formål i § 1. Brukes opplysningene til andre formål, er en utenfor den «samfunnskontrakten» som ligger til grunn for registeret og som legitimerer personverninngrepet og ressursbruken som registrene innebærer for forskningsdeltakerne og samfunnet. Bruk av opplysningene til kvalitetsforbedring osv. bør som i dag bare være tillatt innenfor registerets og helseregisterlovens formål.

Departementet foreslår på denne bakgrunn at opplysninger i helseregistre alltid skal kunne tilgjengeliggjøres og sammenstilles til forsknings- eller statistiske formål for å fremme helse, forebygge sykdom og skade eller gi bedre helse- og omsorgstjenester, dersom helseregisterlovens øvrige vilkår er oppfylt. Hvordan registerets formål er angitt skal ikke være avgjørende. Tilsvarende skal gjelde opplysninger til bruk eller utvikling av beslutningsstøtteverktøy, se punkt 14.5.2. Departementet foreslår i tillegg en tilsvarende endring i § 19 om utlevering av statistikk. Se forslaget til endringer i helseregisterloven § 19, § 19 a og § 19 e.

Disse endringene utvider kun adgangen til å tilgjengeliggjøre opplysninger fra helseregistre. Mottakeren må uansett ha rettslig grunnlag for behandlingen i samsvar med personvernforordningen artikkel 5 og 9, og oppfylle andre krav i personvernforordningen, som for eksempel informasjon til de registrerte etter artikkel 14.

12.6 Oppheving av sletteplikten

12.6.1 Gjeldende rett

Helseforskningsloven § 38 første ledd første punktum

Forbud mot lagring av unødige helseopplysninger er regulert i helseforskningsloven § 38 første ledd første punktum. Hovedregelen er at opplysningene ikke skal oppbevares lenger «enn det som er nødvendig for å gjennomføre prosjektet».

Personvernforordningen artikkel 5 nr. 1 bokstav e og artikkel 30 nr. 1

Personvernforordningen artikkel 5 nr. 1 bokstav e om lagringsbegrensning, setter de ytre rammene for hvor lenge helseopplysningene i prosjektet kan oppbevares. Personopplysninger kan i utgangspunktet ikke lagres lenger enn formålet med innsamlingen tilsier. Opplysningene kan imidlertid lagres i lengre perioder dersom de utelukkende brukes til forskning eller statistikk. Sletteplikten i helseforskningsloven § 38 er strengere enn dette.

Det presiseres i forordningens fortale punkt 39 at opplysningene ikke skal lagres lenger enn det som er strengt nødvendig. Videre presiseres det at den dataansvarlige skal fastsette frister for sletting eller for regelmessig gjennomgang. Lagringsbegrensningen har naturlig sammenheng med artikkel 17 nr. 1 bokstav a som påbyr den dataansvarlige å slette opplysninger som ikke lenger er nødvendige for formålet.

Begrenset lagringstid kan være et særlig og egnet tiltak for å verne de registrertes rettigheter og interesser. De registrerte skal få informasjon om «det tidsrom personopplysningene vil bli lagret, eller dersom dette ikke er mulig, kriteriene som brukes for å fastsette dette tidsrommet», jf. artikkel 13 nr. 2 bokstav a og artikkel 14 nr. 2 bokstav a. Det følger av artikkel 30 nr. 1 at det skal føres protokoll over behandlingen av personopplysninger i forskningsprosjektet. Protokollen skal blant annet inneholde, «dersom det er mulig, de planlagte tidsfristene for sletting av de forskjellige kategoriene av opplysninger».

Personvernforordningen har for øvrig ingen konkrete bestemmelser om plikt til begrenset lagringstid. Begrenset lagringstid kan imidlertid være fastsatt i forskrift eller i vilkår som er satt av den dataansvarlige eller i vedtak om dispensasjon fra taushetsplikten for tilgjengeliggjøring av opplysninger fra helseregistre.

12.6.2 Forslaget i høringsnotatet

Departementet foreslo i høringsnotatet å oppheve § 38 første ledd første punktum som sier at opplysninger ikke skal oppbevares lenger enn det som er nødvendig for å gjennomføre prosjektet. Dette kan åpne for at opplysningene lagres videre for eventuell bruk til nye forskningsformål. Det ble foreslått at opplysningene i stedet skal slettes i samsvar med de generelle personvernreglene, og at det skal lages en plan for lagring og sletting som bør tas inn i forskningsprotokollen.

12.6.3 Høringsinstansenes syn

Forslaget får støtte av de fleste høringsinstansene som uttaler seg om dette (Helsedirektoratet, Helse Sør-Øst RHF, Helse Midt-Norge RHF, Helse Vest RHF, Sikt, Universitetet i Agder, OsloMet, Legemiddelindustrien, mfl.). OsloMet mener at en slik endring «åpner for gjenbruk av forskningsdata til nye formål og er i tråd med prinsipper for åpen forskning.» Sikt påpeker at i «helseforskningsprosjekter er det ofte lagt ned et betydelig arbeid i å innhente og systematisere helseopplysninger for forskningsformål. Opphevingen av helseforskningslovens særregel om sletteplikt vil gjøre det lettere å bruke slike verdifulle forskningsdata, både til det opprinnelige formålet (inkludert etterkontroll og publisering av resultater) og til nye forskningsformål». Helse Vest RHF viser til at det «vil åpne for gjenbruk av data og fjerner slik vi ser det eksisterende kravet om at data ikke lengre kan brukes i publikasjoner også etter at sluttmelding er sendt til REK. Som før må prosjektene ha en plan for lagring og sletting av opplysninger, og vi støtter at dette skal være en del av forskningsprotokollen.»

Noen høringsinstanser er derimot kritiske til forslaget om å oppheve sletteplikten:

Datatilsynet mener at endringen kan bli krevende for forskningsinstitusjonen å forvalte og at det vil bli vanskelig å holde oversikten over hvor mange slike registre som eksisterer, hvilke prosjekter ulike registerdata blir benyttet til mv. Dette gjelder spesielt dersom det ikke skal kreves forhåndsgodkjenning fra REK.

Folkehelseinstituttet mener at forslaget kan ha uheldige konsekvenser der det er forskningsprosjektet som avgjør når data skal slettes:

Det betyr i realiteten at helsedata kan bli oppbevart i uforholdsmessig lang tid hvilket også øker faren for data på avveie. Det vil bli krevende å forvalte deltakernes rettigheter der forskningsprosjekter ikke har en klart avgrenset sluttdato og data skal gjenbrukes. Dersom data skal gjenbrukes kan lang oppbevaringstid heller erstattes med forlengelse av sluttdato, slik at gjenbruk omsøkes før slettedato for det opprinnelige prosjektet. Det er vanskelig å se for seg at Helsedataservice vil innvilge en søknad om tilgjengeliggjøring av helsedata uten å sette en slettefrist som vilkår for dispensasjon og tilgjengeliggjøring, jf. hregl §§ 19a fjerde ledd og 19e tredje ledd. Det er sannsynlig at dette vil stå i motsetning til en slettedato prosjektet mener er rimelig.

12.6.4 Departementets vurderinger og forslag

Sletteplikten i § 38 første ledd første punktum oppheves

Departementet foreslår å oppheve sletteplikten – lagringsbegrensningen – i helseforskningsloven § 38 første ledd første punktum.

Sletteplikten i § 38 er til hinder for at opplysningene lagres videre for eventuell bruk til nye forskningsformål. Bestemmelsen slik den lyder og fortolkes er også til hinder for etterprøving og kontroll av forskningsresultater og er således i strid med lagringsplikten i samme bestemmelse, se punkt 13.5.

Departementet har fått innspill om at prosjektledere kan ha problemer med å få tilgang til forskningsdata etter at forskningsprosjektet er avsluttet, men før det er skrevet fagartikkel el. om resultatene fra prosjektet. Departementet presiserer at produksjon av fagartikler er en integrert og viktig del av forskningen og formålet med den, slik at opplysningene må kunne lagres så lenge dette er nødvendig for å skrive fagartikler ol.

Formålet med sletteplikten er å unngå uheldig og unødig lagring og akkumulering av data. Departementet mener at reglene i personvernforordningen, innhenting av samtykke eller dispensasjon fra taushetsplikten, og eventuelt REKs forhåndsgodkjenning, vil gi tilstrekkelig vern for de registrerte. Departementet viser også til at det skal lages en plan for lagring og sletting som bør tas inn i forskningsprotokollen, se nedenfor.

Nye forskningsformål

Oppheving av sletteplikten vil gi muligheter å gjenbruke data i forskningsregistre til nye forskningsformål. Eventuell ny bruk må ha rettslig grunnlag.

Dersom det rettslige grunnlaget for det aktuelle forskningsregisteret er samtykke, jf. personvernforordningen artikkel 6 nr. 1 bokstav a og artikkel 9 nr. 2 bokstav a, må forskningen ligge innenfor samtykket eller det må innhentes nye samtykker. Etter at det opprinnelige prosjektet er avsluttet vil det kunne være mulig med gjenbruk dersom det nye formålet omfattes av forskningsdeltakernes brede samtykke eller dersom det innhentes nye samtykker. REK kan eventuelt dispensere fra kravet om nytt samtykke ved ny bruk av helseopplysningene og det biologiske materialet jf. helseforskningsloven § 15 andre ledd.

Dersom forskningsregisteret er basert på dispensasjon fra taushetsplikten, må det nye forskningsformålet omfattes av dispensasjonsvedtaket. I motsatt fall må forskningsinstitusjonen få nytt dispensasjonsvedtak, eventuelt omgjøring av gjeldende vedtak.

Departementet mener at det ikke bør åpnes for lagring og gjenbruk av data til nye forskningsformål utover dette.

Plan for lagring og sletting

Selv om den særlige sletteplikten i helseforskningsloven § 38 oppheves, vil det være begrenset hvor lenge forskningsregistrene kan lagres. Etter personvernforordningen skal opplysninger aldri lagres lengre enn det som er nødvendig for formålet med behandlingen.

Forskningsansvarlig må i stedet lage en plan for lagringen, med frister for når opplysningene skal slettes eller anonymiseres, jf. personvernforordningen artikkel 30 nr. 1. Planen bør tas inn i forskningsprotokollen, slik at planen blir åpen og forpliktende. Dette kan eventuelt også presiseres i § 8 om forskningsprotokoll i forskrift om organisering av medisinsk og helsefaglig forskning. Det kan settes vilkår om sletting i vedtak om dispensasjon fra taushetsplikten, men et slikt krav må alltid vurderes konkret ut fra formålet som fremgår av søknaden.