Endret dispensasjonsmyndighet gir utfordringer

Les mer om Storfellesmøtet 2022: Helseforskningloven på dagsordenen
Forslag for bedre datadeling ved neste krise

– Frem til mai i fjor var det helseforskningsloven § 35 som regulerte dispensasjon fra taushetsplikt. Nå er denne paragrafen erstattet med helsepersonelloven, helseregisterloven og forvaltningsloven. Det har blitt litt vanskeligere, innledet Ragnhild Emblem komitéleder i REK-sør-øst B under Storfellesmøtet 19. oktober.

Ifølge lovbestemmelsene kan opplysninger bare tilgjengeliggjøres «dersom det er ubetenkelig ut fra etiske, medisinske og helsefaglige hensyn».

– For oss er «etisk ubetenkelig» et begrep som ikke er entydig, og det er veldig strengt. Vi trenger litt diskusjon om hva det betyr.

Dispensasjonsmyndigheten for noen registre er foreslått overført til Helsedataservice (Forskrift om nasjonal løsning for tilgjengeliggjøring av helsedata er nå på høring). Også dette medfører noen usikkerheter, påpekte Emblem.

I tillegg kom det nylig et brev fra Helsedirektoratet som sier at man nå skal ha dispensasjon for å slå opp i journal for å finne kontaktadresse til mulige forskningsdeltagere.

– Det trekker nesten teppet bort under oss, både for de som skal skrive protokoll, og for oss. Dette er virkelig et rødt flagg! Vi vil diskutere hva grunnlaget for denne tolkningen er, sa Emblem.

Til å delta i diskusjonen, var Elisabeth Vigerust invitert. Hun er jurist og spesialrådgiver i Helse- og omsorgsdepartementet. Vigerust vedgikk at det kan være krevende å utforme lover, selv med støtte fra brede høringer.

– Det er vanskelig for oss jurister å forstå og forutse hvilke konsekvenser reglene vi utformer får. Det kan glippe i høringer også, selv om disse som regel gir veldig gode bidrag.

Formålet med lovendringen, forklarte hun, var å rydde opp og tydeliggjøre gjeldende praksis for dispensasjoner, ikke å endre noe særlig. Likevel, når man får en ny ordlyd, oppstår nye spørsmål.

– Ved tilgjengeliggjøring av helsedata, er det krav til taushetsplikt, forskningsetikk og personvern. REKene skal vurdere forskningsetikk og vilkår for dispensasjon fra taushetsplikt. Vilkårene er likestilt. Om prosjektet ikke er forskningsetisk forsvarlig, kan det ikke gis dispensasjon.

Helsedataservice vil, med andre ord, ikke kunne overprøve REKs vurderinger om forsvarlighet.

– Vi tenkte at dere stort sett skulle fortsette å vurdere dispensasjonssøknadene slik dere har gjort i mange år. Vi ville også prøve å sikre at samme søknad ikke fikk ulik vurdering hos ulike myndigheter, ettersom det har vært slik at både den dataansvarlige, dispensasjonsmyndigheten og REK skulle vurdere det samme. Vi ville samle mest mulig hos samme aktør. Reglene er nå konstruert sånn at man først skal få REKs forhåndsgodkjenning, der det er nødvendig, dernest kan dispensasjonsmyndigheten gjøre sin vurdering.

Vigerust fortalte at departementet jobber med å finne mekanismer som gjør at søkere unngår et dobbeltbyråkrati, dersom myndigheten for dispensasjon overføres til Helsedataservice.

Syv vilkår for dispensasjon

– Overordnet vil jeg si at dispensasjon er et unntak fra taushetsplikten som er et helt grunnleggende prinsipp i helsevesenet. Det følger av dette at det skal mye til for å kunne gi dispensasjon. Det er også et underliggende premiss at det skal være vanskelig eller umulig å innhente samtykke, sa Vigerust.

Hun listet opp syv vilkår som skal vurderes ved søknad om dispensasjon.

– Er opplysningene fra helseregistre, må man vurdere om bruken er innenfor registerets formål. Dette er ikke et vilkår når det gjelder pasientjournaler.

Det neste vilkåret er tiltak for å ivareta informasjonssikkerheten.

– Dette volder dere hodebry. Men dette er forskningsinstitusjonenes ansvar. Forskeren skal overfor dere bare dokumentere tiltak for å sikre informasjon. Det at dere gir dispensasjon, fritar ikke forskeren for noe ansvar her. Det er ikke meningen at dere skal gjøre noen inngående vurdering av om tiltakene er tilstrekkelige.

Bruken skal også ha vesentlig interesse for samfunnet.

– Som tidligere veies samfunnets nytteverdi av forskningen, mot ulempen for den enkelte og hvor vanskelig det er å innhente samtykke. Det er viktig menneskerettslig og personvernrettslig, at det er krav om proporsjonalitet. Tidligere sa Datatilsynet at vi gir ikke dispensasjon for svære, permanente registre, dette er en videreføring av det. Når dere allerede har vurdert forskningsetikken, har dere allerede tatt stilling til nytteverdien og trenger ikke å vurdere dette på nytt.

Fjerde vilkår er kravet om dataminimering.

– Dette skal REK alltid vurdere. Men dere kan rådføre dere med registerforvalter, som gjerne vil ha bedre kjennskap til dataene. Dere vil da kunne bestemme at registerforvalteren skal foreta en ytterligere dataminimering.

Dernest nevnte Vigerust REKs forhåndsgodkjenning som et femte vilkår for dispensasjon. Det er et minstevilkår at prosjektet er forskningsetisk forsvarlig.

– Dette betyr at dere først skal gjøre en forskningsetisk vurdering. I lovendringen i 2021, ligger det ingen endringer i de forskningsetiske vurderingene dere har gjort i alle år.

En sikkerhetsventil

Det sjette vilkåret er at bruken skal være ubetenkelig ut fra etiske, medisinske og helsefaglige hensyn.

– Så vet vi at forvirringen oppstår når dere kommer til at bruken ikke bare skal være forskningsetisk forsvarlig, men også ubetenkelig ut fra etiske, medisinske og helsefaglige hensyn. Dette sto også i loven før, men jeg innser at det er en klønete formulering. Vi var her redde for å tukle med ordlyden. Men i de sakene som krever forskningsetisk vurdering skal dere altså ikke gjøre noen ny etisk vurdering. 

Vigerust beskrev dette vilkåret som en sikkerhetsventil. Den gjør det mulig for REK å stanse en dispensasjon hvis det er noe ved prosjektet som virker uheldig, uten at det kan hektes på de andre vilkårene. Det kan for eksempel være hvis pasienten har sperret opplysninger i journal, hvis det er overføring til andre land, særlig tredjeland som ikke har overføringsgrunnlag i samsvar med personvernforordningen etc. Videre sa hun at departementet kan se på dette punktet ved en eventuell evaluering av lovverket.

Til slutt – som et sjuende vilkår – påpekte hun at REK kan fastsette særlige tiltak for å verne forskningsdeltagere. For eksempel kan man kreve sletting av data, bestemme at registerforvalteren skal gjennomføre en ytterligere dataminiminering, eller (dersom data skal overføres til utlandet), kreve en ekstern forskningsetisk vurdering eller særlige tiltak for å ivareta taushetsplikten.

Registerforvalteren skal tilgjengeliggjøre data i samsvar med REKs vedtak og kan ikke gjøre en ny vurdering av om vilkårene er oppfylt. Vedtaket gir mottakeren et rettslig grunnlag etter personvernforordningen, men ansvaret for personvern vil alltid være hos mottaker.

På spørsmål fra salen om hva som skjer med for eksempel helsetjenesteforskning basert på observasjonsstudier, svarte Vigerust at akkurat dette er vanskelig.

– Her er det tale om opplysninger forskerne får tilgang på som de egentlig ikke skulle hatt, fordi de fotfølger helsepersonell på jobb. Reglene om taushetsplikt er veldig spesifikke, og vi kan ikke bruke dispensasjonsbestemmelsene i disse tilfellene. Ved en evaluering eller en lovendring må vi se på om det er behov for å endre loven på dette feltet, for jeg ser at det er en ganske uholdbar situasjon.

– Fortsatt én postkasse

Det ble også påpekt fra salen at overføring av dispensasjonsmyndighet til Helsedataservice vil føre til  at forskere ikke lenger har «én postkasse», noe som var målet da helseforskningsloven kom. Vigerust påpekte at denne praksisen fortsetter.

– Det blir ikke flere kokker enn nå, for i dag må du søke registerforvalter i tillegg til REK. Og skal du sammenstille flere registre, må du gå til flere registerforvaltere. Forskeren får nå én postkasse, Helsedataservice, som også skal koordinere søknadene til REK om forhåndgodkjenning.

Hun understreket igjen at et avslag hos REK ikke kan overprøves av Helsedataservice. Formelt sett skal Helsedataservice vurdere om det er ubetenkelig ut fra etiske hensyn.  

– Men å overprøve REKs etiske vurdering her vil være uklokt, og ikke noe jeg tror Helsedataservice vil gjøre. REKene har derimot gitt uttrykk for at de kan ikke vurdere datasikkerhet osv. Der vil Helsedataservice ha en annen kompetanse.

Les mer om tematikken i Magasinet Forskningsetikk 2021:1: Frykter tungvint taushetsløsning