Høringssvar personvernkommisjonens rapport

Last ned pdf

FEK er et forvaltningsorgan under Kunnskapsdepartementet, og skal bidra til at forskning i offentlig og privat regi skjer i henhold til anerkjente forskningsetiske normer. FEK består av Den nasjonale forskningsetiske komité for medisin og helsefag (NEM), Den nasjonale forskningsetiske komité for naturvitenskap og teknologi (NENT) og Den nasjonale forskningsetiske komité for samfunnsvitenskap og humaniora (NESH), Nasjonalt utvalg for gransking av uredelighet i forskning (GRU) og Nasjonalt utvalg for vurdering av forskning på menneskelige levninger (SKJ) og et sekretariat. Dette høringssvaret er gitt av alle komiteer og utvalg, samt sekretariat, i fellesskap.

Forskning har ikke vært et sentralt tema for personvernkommisjonen. Forskning er et viktig område for personvern, blant annet i forbindelse med utvikling av ny teknologi som forårsaker utfordringer og som leverandør av mulige løsninger på utfordringene. Den teknologiske utviklingen og endringer i forskningen gir også nye forskningsetiske problemstillinger. FEK ønsker derfor å komme med noen overordnede momenter knyttet til problemstillinger som er forskningsetisk relevante. Kort oppsummert handler det om:

• Forskning som ligger til grunn for tjenesteutvikling i forvaltningen må også forholde seg til forskningsetiske normer
• Ved sekundærbruk av personopplysninger til forskning må innsamlingen ha skjedd på en forskingsetisk forsvarlig måte
• Bruk av stordata og kunstig intelligens kan utfordre både personvernet og forskningsetikken, noe som stiller nye krav til forskernes vurderinger
• Forskning som ligger til grunn for innovasjon må også foregå i henhold til forskningsetiske normer

Forskning bygger på vitenskapelige idealer som sannhetssøken, åpenhet og etterrettelighet og er et grunnleggende element i et opplyst demokrati. Hensynet til enkeltpersoner er en sentral del av forskningsetikken. Samtidig har forskningsetikken et bredere begrep om personvern enn personvernlovgivningen, tilsvarende skillet mellom personvern og personopplysningsvern som kommisjonen trekker opp (s. 30). Det brede begrepet om personvern henger sammen med den enkeltes menneskeverd. Ikke bare personopplysninger, men også individets sikkerhet, interesser og integritet skal beskyttes. Dette kan ikke uten videre tilsidesettes i forskningens interesse, og forskere og forskningsinstitusjoner må bidra til å sikre personvern i den brede betydningen. Forskningsetikk favner samtidig om mer enn vern av personopplysninger og den enkeltes sikkerhet, interesser og integritet. Forskningsetiske normer inkluderer også normer som skal sikre god vitenskapelig praksis og ivareta forskerens samfunnsansvar.

Forskning spenner over mange fagområder med ulike metoder. Noe forskning foregår gjennom sterkt belastende inngrep i enkeltmenneskers integritet, men mye forskning innebærer svært begrenset personvernulempe. Forskningsetiske vurderinger må avveie hensyn til den enkelte opp mot samfunnets behov for forskning. Hensynet til enkeltpersoner inngår i de fagspesifikke retningslinjene og veilederne som er utviklet av komiteene. Disse retningslinjene bidrar til klargjøring rundt det etiske ansvaret forskere har overfor dem det forskes på og andre som berøres av forskningen. FEK har også utviklet andre ressurser som er relevante når det gjelder personvern i forskning: Forskningsetisk veileder for internettforskning (NESH, 2018), Forskningsetisk betenkning om kunstig intelligens (NENT, 2019), Stordata i forskning: store muligheter, store utfordringer (FEK, 2020).

Forskning og forvaltning

Personvernkommisjonen trekker fram flere eksempler på at forskning kan brukes for å utvikle og forbedre tjenester i forvaltningen. Bl.a. kan forskning bidra til teknologiske løsninger hvor personvernet i større grad er ivaretatt. FEK ønsker å minne om det forskningsetiske ansvaret også i forskning som ligger til grunn for tjenester i forvaltningen. Det er viktig å være bevisst på at også slik forskning må forholde seg til personvernlovgivningen og det bredere forskningsetiske ansvaret for å ivareta berørte personers integritet.

På samme måte må forskning på personopplysninger innsamlet av forvaltningen følge anerkjente forskningsetiske normer. Et samtykke til å behandle personopplysninger er ikke det samme som et samtykke til å delta i forskning. Forskere må sikre at personopplysningene de bruker i sin forskning er samlet inn på en forskningsetisk forsvarlig måte, og at forskningsdeltagerne er godt informert om hva opplysningene brukes til. Forvaltningsorganene må også klare å skille mellom opplysninger de har innhentet til forskning og andre oppgaver de har, f.eks. kontroll og tilsyn.

Sekundærbruk

Personvernforordningen slår fast at personopplysninger bare skal samles inn til spesifikke, uttrykkelig angitte formål. Likevel er det noen formål som gir grunnlag for viderebehandling av opplysningene. Dette gjelder bl.a. «formål knyttet til vitenskapelig eller historisk forskning» (Personvernforordningen art. 5, 1b). Personvernkommisjonen drøfter ikke slike sekundære formål, men bare det de anser som «videre formål» (s. 70, n46). FEK ønsker likevel å knytte noen kommentarer til sekundærbruk av personopplysninger i forskning.

For at data skal kunne forskes på må innsamlingen være i tråd med personvernforordningens art. 89, 1, jf. art 5, 1b. Utfordringer ved innsamling av personopplysninger, bl.a. slike som belyses gjennom eksemplene i kapittel 9, vil dermed også gjelde sekundærbruk. Det vil normalt ikke være forskningsetisk akseptabelt å forske på data som er samlet inn med tvilsomme metoder. Uavhengig av hvem som har samlet inn dataene, har forskeren et selvstendig ansvar for å ivareta integriteten til forskningsdeltagerne. I Norge har vi mekanismer og systemer for å sikre at forskingen er i henhold til anerkjente forskingsetiske normer. Forskningsetikkloven gir forskningsinstitusjoner ansvar for å sikre at forskningen skjer i henhold til anerkjente forskningsetiske normer. Dette må også gjelde for gjenbruk av personopplysninger til forskning.

Ny teknologi og stordata

Den teknologiske utviklingen gir ulike aktører enorme muligheter for tilgang til data, nye sammenstillinger og bruk av dataene. Det er viktig med gode rutiner og infrastruktur for lagring og deling av data. Denne utviklingen innebærer imidlertid også utfordringer for personvernet. Data som regnes som anonyme vil, når de sammenstilles med andre data og teknologien utvikler seg, kunne avdekke sensitive opplysninger eller avsløre enkeltpersoner. Innhenting og bruk av data som inkluderer persondata kan bl.a. utfordre kravet om informert samtykke. Ved innsamling og nye sammenstillinger av store datamengder er det en risiko for at personlig informasjon kan brukes på måter vi ikke er klar over ved innsamlingstidspunktet, og som vi kanskje ikke ønsker. Mengden tilgjengelige data og teknologisk utvikling endrer altså relasjonen mellom forskeren og dem dataene gjelder.

Sammenhengen opplysningene er gitt i må også vurderes. I sin veileder for internettforskning [1] påpeker NESH at forskere har et ansvar for å vurdere opplysningenes grad av offentlighet, informasjonens sensitivitet, de berørtes sårbarhet og forskningens interaksjon og konsekvenser når de foretar forskningsetiske vurderinger knyttet til informasjon og samtykke.

Innovasjon

De store mengdene data som samles inn om personer og utviklingen i teknologi som kan brukes for å analysere dem, kan lede til innovasjon som gir bedre personvern, tjenester og tilbud, men har også personvernmessige utfordringer.

Ofte er det en tett kobling mellom innovasjon og forskning. Det er viktig at også forskning som ligger til grunn for innovasjon foregår i henhold til forskningsetiske normer. Det er vesentlig at forskere vurderer tenkelige konsekvenser ved bruk allerede tidlig i forsknings- og innovasjonsprosessen, og minimerer mulige uønskede konsekvenser. Uforutsigbarhet i mye av teknologiutviklingen gjør det imidlertid krevende å foreta solide risikovurderinger, og resultatet kan være en undervurdering av mulige farer. Forskere har derfor også et ansvar for å kommunisere den innebygde usikkerheten til politiske beslutningstakere.[2] Føre-var-prinsippet er relevant der det er betydelig vitenskapelig usikkerhet om konsekvenser, men der det samtidig foreligger risiko for å frembringe betydelige uønskede konsekvenser. Dette prinsippet impliserer ikke et ansvar for å unngå enhver tenkelig skade, men risiko for alvorlige eller irreversible skader for helse, samfunn eller miljø tilsier at man bør vente med å innføre teknologi til man har mer kunnskap. Dette vil også gjelde der det er mulige uønskede personvernkonsekvenser. I denne sammenhengen er det viktig å fremheve at økt forskningsetisk bevissthet ikke er en bremsekloss for forskning og innovasjon, men en forutsetning for kvalitet og for befolkningens tillit til forskning og innovasjon.

1. https://www.forskningsetikk.no/retningslinjer/hum-sam/forskningsetisk-veileder-for-internettforskning/

2. Jf. pkt 8 i Forskningsetiske retningslinjer for naturvitenskap og teknologi, NENT 2016