Innspill til etterkontroll av personopplysningsloven

Dato: 31.10.2024

Svartype: Med merknad

FEK består av tre nasjonale forskningsetiske komiteer, henholdsvis Den nasjonale forskningsetiske komité for medisin og helsefag (NEM), Den nasjonale forskningsetiske komité for naturvitenskap og teknologi (NENT) og Den nasjonale forskningsetiske komité for samfunnsvitenskap og humaniora (NESH). I tillegg kommer Nasjonalt utvalg for gransking av uredelighet i forskning (Granskingsutvalget) og Nasjonalt utvalg for vurdering av forskning på menneskelige levninger (Skjelettutvalget). Alle komiteer og utvalg er faglig uavhengige, kollegiale organer bestående primært av forskere. Sekretariatet i FEK gir administrativ og faglig støtte til komiteene og utvalgene. Gjennom forebyggende arbeid og rådgiving, og gjennom gransking av saker om mulig uredelighet i forskning, skal FEK bidra til at forskning skjer i samsvar med anerkjente forskningsetiske normer og at samfunnet har tillit til forskning. Alle komiteer og utvalg og sekretariatet stiller seg bak innspillet.

Innspillene fra FEK er basert på erfaringer med dagens lov og konsekvenser av loven i komiteer og utvalg og i sekretariatet. FEK vil primært drøfte spørsmål om personvern knyttet til forskning. Underveis viser FEK også til annet lovverk som er relevant for personvern og forskingsetikk.

FEK vil fremheve følgende momenter:

Presisere skillet mellom hhv. personvern knyttet til personopplysningsloven og personvern slik det er forstått i forskningsetikken.

Understreke at mange typer forskning, også på mennesker, faller utenfor personopplysningslovens virkeområde.

Avklare fritaket for akademiske ytringer.

Klargjøre begrepet «forskning» i personopplysningsloven.

Drøfte ulike former for samtykke som behandlingsgrunnlag.

Presisere personopplysningsloven unntak for forskning uten samtykke.

Henvise til forskningsetisk informasjonsplikt og forskningsetisk samtykke

1. Personvern og forskningsetikk

FEK mener det er viktig å presisere skillet mellom personvern knyttet til personopplysningsloven og personvern slik det er forstått i forskningsetikken. Personopplysningsloven er avgrenset til «vern av fysiske personer i forbindelse med behandling av personopplysninger» (artikkel 1, jf. § 1). Forskningsetikken ivaretar personvern i bredere forstand og beskytter alle mennesker som deltar eller inngår i forskning. Det er hensiktsmessig å skille mellom personopplysningsvern og personvern, forstått som et bredere forskningsetisk ansvar (jf. NOU 2022: 11, 3.1.1).

FEK understreker at personvernet i forskningsetikken bygger på menneskeverdet, privatlivets fred og respekt for personlig integritet. Personvern er også et grunnleggende premiss for et fullverdig demokratisk samfunn, knyttet til informasjons- og ytringsfrihet (jf. NOU 2022: 11, 3.1). Forskningsetikken supplerer personopplysningloven og er en garantist for samfunnets tillit til forskning, både som en allmenn interesse og et kollektivt gode (jf. EDPS (2020) A Preliminary Opinion on data protection and scientific research, 3.5).

FEK erfarer at mange forskere og forskningsinstitusjoner er usikre på lovverk og regulering av personvern og forskningsetikk, for eksempel hvorvidt det er krav om forhåndsgodkjenning eller samtykke. Det er i seg selv et problem, spesielt dersom håndteringen av personvernhensyn «ikke i tilstrekkelig grad ivaretar hensynene bak ytrings- og informasjonsfriheten og den akademiske frihet.» (jf. NOU 2022: 2, 6.3.3). Derfor er det viktig at etterkontrollen av personopplysningsloven drøfter personvern og forskningsetikk i bred forstand og i forbindelse med forskningsetikkloven (§§ 4-5), universitets- og høgskoleloven (§ 2-2), helseforskningsloven (§ 5) og Grunnloven (§ 100).

FEK erfarer også at i forskningssamarbeid med institusjoner utenfor EØS, som ikke har de samme kravene til behandling av personopplysninger, kan det oppstå utfordringer mht. deling av personopplysninger. Eksempelvis oppsto det etter EU-domstolens avgjørelse i Case C-311/18 (Schrems II) i 2020, en betydelig usikkerhet med hensyn til både overføringsbegrepet (GDPR Kapittel V) og hva som skal anses som «nødvendige garantier» som gjør overføring mulig. Inntrykket var at tilsynsmyndighetene var forsiktige i sin veiledning og mange forskningsprosjekter ble forsinket eller stoppet opp i påvente av rettslige avklaringer. Dette var særlig krevende i forhold til pågående forskningssamarbeid med universiteter i USA.

2. Fritak for mange typer forskning

FEK mener det er nødvendig å presisere at mange typer forskning, også på mennesker, faller utenfor personopplysningslovens virkeområde. Kort sagt gjelder det all forskning som ikke innebærer behandling av personopplysninger, for eksempel på anonymiserte forsknings- og registerdata eller forskning på fortiden og på avdøde personer. Også her kan det fremheves at forskningsetikken dekker mer enn personopplysningsloven, for eksempel respekt for mennesker i fortiden, enten det er snakk om forskning på historiske dokumenter og arkiv, menneskelig levninger eller nylig avdøde, samt humant biologisk materiale og helseopplysninger. FEK har utviklet nasjonale retningslinjer, som dekker de ulike fagområdene.

FEK viser til personvernforordningens omtale av registerforskning og muligheten for å oppnå ny og verdifull kunnskap som kan danne grunnlaget for utformingen og gjennomføringen av en kunnskapsbasert politikk (punkt 157). Utviklingen innen stordata, syntetiske data og forskning, utvikling og bruk av kunstig intelligens (KI) reiser grunnleggende spørsmål om dataminimering, personvern og forskningsetikk. KI-modeller må trenes på reelle data for å generere syntetiske data. Hva slags regler gjelder for bruk av personopplysninger i denne opptreningen? Når slutter det å være personopplysninger, og hva er risikoen for at det blir mulig å rekonstruere det til persondata om 5-10 år? Hvordan vurdere personvernprinsipper opp mot samfunnsnytten?

FEK viser til den offentlige debatten om forskningsetikk og forhåndsgodkjenning knyttet til pandemitiltak (NOU 2022: 2, 6.3.3): «Diskusjonene viser at det er noe manglende kunnskap i forskningsmiljøer om regelverket, og ikke minst om hvem som har ansvaret for ulike vurderinger og beslutninger. Dette er i seg selv en utfordring.» Derfor er det nødvendig å presisere at personopplysningsloven ikke har krav om forhåndsgodkjenning (jf. helseforskningsloven § 9), samt at tilråding fra personvernombudet, eller råd fra Sikt – kunnskapssektorens tjenesteorgan, ikke skal fremstilles eller forstås som forhåndsgodkjenning.

FEK viser til situasjonen i Sverige, hvor innføringen av en ny uredelighetslov i 2019, med streng regulering også av personvern og forskningsetikk, medførte kritikk og opprop fra flere tusen forskere. I august 2023 vedtok Utbildningsdepartementet å utrede de negative konsekvensene av loven, og resultatet er helt ny lov hvor en mengde forskning skal unntas fra krav om etikkgodkjenning. Også i Sverige knyttes forvaltningen av forskningsetikken tettere opp mot forskningsetiske retningslinjer (Ds 2024: 21)

FEK erfarer at mange institusjoner bruker unødvendig mye tid og ressurser på å behandle prosjekter, som strengt tatt ikke faller inn under personopplysningsloven. For strenge krav og rutiner ved institusjonene kan også føre til at prosjekter møter motbør og hindringer fra et lovverk som strengt tatt ikke er relevant. For mange forskere oppleves dette som unødvendig byråkrati eller en begrensning av akademisk frihet, og for mange studenter kan det medføre unødvendig frustrasjon og tap av tid. Derfor er det nødvendig å tydeliggjøre avgrensningen i virkeområdet for personopplysningsloven og å klargjøre legitime fritak for ulike typer forskning.

3. Fritak for akademiske ytringer

FEK mener det er nødvendig å avklare fritaket for akademiske ytringer, jf. avgrensningen i personopplysningslovens saklige virkeområde mot ytrings- og informasjonsfrihet (§ 3):

«Så langt det er nødvendig for utøvelsen av retten til ytrings- og informasjonsfrihet, gjelder ikke personvernforordningen og loven her ved behandling av personopplysninger for journalistiske formål eller med henblikk på akademiske, kunstneriske eller litterære ytringer.»

FEK har i flere sammenhenger etterlyst at begrepet akademiske ytringer må bli konkretisert:

Hva er akademiske ytringer (fortalepunkt 155; art. 85)? Hvilke akademiske aktiviteter er omfattet av unntaket? Gjelder unntaket ulike former for publisering eller formidling? Hvordan henger det sammen med akademisk frihet og forskningsetikk mer generelt? Det er fremdeles ikke avklart, for eksempel i Justis- og beredskapsdepartementets proposisjon til Stortinget om endringer i personopplysningsloven og offentleglova (Prop. 158 L 2020-2021). Det ble ikke behandlet nærmere i Kierulf-utvalgets NOU 2022: 2 Akademisk ytringsfrihet (s. 69).

FEK erfarer at en avklaring ikke kan skje gjennom lovtolkning (for eksempel om behandlingen skjer «med henblikk på» eller «utelukkende» for dette formålet). Da det heller ikke foreligger relevant rettspraksis i Norge, er det nødvendig å utrede dette fritaket for å sikre handlingsrommet knyttet til ytrings- og informasjonsfrihet. Da må personopplysningsloven avveies mot både universitets- og høgskoleloven (§ 2-2) og Grunnloven (§ 100). Utfordringen er å avveie samfunnets interesse mot konsekvenser for den registrerte. Og et viktig hensyn er hvorvidt det finnes «atferdsnormer, etiske retningslinjer eller selvdømmeordninger eller liknende som bidrar til å ivareta den registrertes personvern ved behandlingen» (§ 3 bokstav b). FEK presiserer at forskningsetiske retningslinjer som dekker forskningsformidling, kan bidra til å sikre at slike akademiske ytringer er forsvarlige. En presisering av forskningsetikkens betydning vil også bidra til å styrke akademisk ytringsfrihet mer generelt. (jf. NOU 2022: 2)

4. Hva er forskning?

FEK mener det er viktig å klargjøre begrepet «forskning», både ved å skille mellom forskning og andre typer kunnskapsproduksjon og ved å presisere vilkår for gjenbruk av forskningsdata og forskerinnsyn i arkiv. Formålet med avgrensningen er sikre tillit til forskning og samtidig markere en legitim grense mot andre former for kunnskapsproduksjon.

Personopplysningslovens omtale av «forskning» (§§ 8–9) inngår i samlebetegnelsen «arkivformål i allmennhetens interesse, vitenskapelig eller historisk forskning eller statistiske formål» (jf. personvernfroordningen art. 9 (2) og art. 89, samt punkt 158, 159, 160 og 162). Begrepet omfatter altså vitenskapelig og historisk forskning, ikke andre former for kunnskapsproduksjon som kvalitetssikring og konsulentoppdrag. Samtidig er det viktig å understeke at «vitenskapelig forskning» (punkt 159) omfatter et bredt spekter av forskningsformål, herunder «teknologisk utvikling og demonstrasjon, grunnleggende forskning, anvendt forskning og privatfinansiert forskning», samt «studier som utføres i allmennhetens interesse på området folkehelse».

FEK minner i denne sammenheng om at forarbeidene til forskningsetikkloven legger til grunn at både forskere, forskningsinstitusjoner og oppdragsgivere må være tydelig på hva som er å anse som forskning og hva som er andre typer oppdrag: «Konsulentoppdrag utført ved en forskningsinstitusjon må ikke bli framstilt av institusjon, av betaler eller av tredjepart som uavhengig forskning.» (Prop. 158 L (2015–2016), 4.2.1; se også kap. 3.1 Hva er forskningsetikk? Og kap. 3.2 Hvorfor er forskningsetikk viktig?).

Begrepet «forskning» er også relevant for viderebehandling for nye formål (jf. artikkel 5 (1) b):

[V]iderebehandling for arkivformål i allmennhetens interesse, for formål knyttet til vitenskapelig eller historisk forskning eller for statistiske formål skal, i samsvar med artikkel 89 nr. 1, ikke anses som uforenlig med de opprinnelige formålene («formålsbegrensning»).

Dette er relevant for eksempel knyttet til behandling av personopplysninger fra forskningsregistre og helseregistre. Derfor er det viktig at etterkontrollen av personopplysningsloven blir harmonisert med det pågående arbeidet i Helse- og omsorgsdepartementet med ny helseforskningslov (Helse- og omsorgsdepartementet, høringsnotat 11.10.2024, 10. 5).

Dette er også relevant for historisk forskning og forskerinnsyn i offentlige og private arkiv. Derfor er viktig at etterkontrollen av personopplysningsloven blir harmonisert med det pågående arbeidet i Kulturdepartementet med ny arkivlov (NOU 2019: 9). Se også høringsutkastet fra Finansdepartementet om revisjon av finansforetakenes taushetsplikt for forskningsformål. (FD, ref. 22/1096)

5. Samtykke som behandlingsgrunnlag

FEK mener etterkontrollen av personopplysningsloven bør bidra til å klargjøre hvordan samtykke, som ett av flere mulige behandlingsgrunnlag etter personopplysningsloven, skiller seg fra andre former for samtykke i andre lover og retningslinjer.

FEK erfarer at det råder stor uklarhet og usikkerhet omkring samtykke, samt at lovverket blir praktisert forskjellig på tvers av ulike fagområder og institusjoner. Mange tror at samtykke er en hovedregel for behandling av personopplysninger, til tross for at personvernforordningen har flere sidestilte rettsgrunnlag for behandling for forskningsformål, blant annet samtykke (art. 6 (1) a og 9 (2) a). Noen blander det med krav om samtykke etter helseforskningloven (§ 13) og helsepersonelloven (§ 22). Andre blander det ansvaret for å få et forskningsetisk samtykke (se under). I tillegg pågår diskusjoner om bredt samtykke, dynamisk samtykke, kollektivt samtykke.

Videre er en klargjøring av personopplysningslovens definisjon av samtykke relevant både for å presisere muligheten for forskning uten samtykke og betydningen av det forskningsetiske samtykket.

6. Forskning uten samtykke

FEK mener det kan være hensiktsmessig å presisere personopplysninglovens spesifikke unntak for forskning uten samtykke (§§ 8-9). Det er viktig for en rekke prosjekter innen humaniora og samfunnsvitenskap (NESH 2023, punkt 16), og det er drøftet i utkast til ny helseforskningslov, knyttet til prosjekter som innebærer ingen eller liten ulempe eller risiko for forskningsdeltakerne når forskningen antas å ha stor nytteverdi for samfunnet.

FEK legger til grunn at personopplysningsloven gir supplerende rettsgrunnlag for bruk av personopplysninger i forskning uten samtykke, både ved behandling av personopplysninger i allmennhetens interesse (§ 8, jf. art. 6 (1) e) og ved behandling av særlige kategorier (§ 9, jf. art. 9 (2) j), gitt at behandlingen er omfattet av nødvendige garantier (art. 89 (1)).

FEK erfarer at det råder stor uklarhet og usikkerhet omkring dette lovverket. FEK foreslår derfor to mulige presiseringer i loven:

Presisere at § 8 gjelder behandling av personopplysninger uten samtykke (jf. ordlyden i § 9):

«§ 8. Behandling av personopplysninger [uten samtykke] for arkivformål i allmennhetens interesse, formål knyttet til vitenskapelig eller historisk forskning eller statistiske formål»

Presisere at § 9 er avledet av personvernforordningen artikkel 9 nr. 2 bokstav j (jf. ordlyden i § 8 med henvisning til personvernforordningen artikkel 6 nr. 1 bokstav e).

7. Forskningsetisk informasjonsplikt og forskningsetisk samtykke

FEK mener det er nødvendig å skille mellom ulike former for juridisk samtykke, og det som uansett er et forskningsetisk ansvar både for å informere og å få samtykke fra personer som deltar i eller inngår i forskning. Det etiske ansvaret gjelder uavhengig av juridiske krav til behandling av personopplysninger i forskning. Forskere må uansett foreta en selvstendig vurdering av forskningsetikken. Derfor er det hensiktsmessig å snakke om forskningsetisk informasjonsplikt og forskningsetisk samtykke. (NESH 2023, punkt 15 og 16)

FEK presiserer at forskningsetisk informasjonsplikt og forskningsetisk samtykke er spesielt viktig ved bruk av allmennhetens interesse som rettslig grunnlag. Da vil deltakernes interesser og friheter ikke være tilstrekkelig ivaretatt etter personopplysningsloven, men her vil forskningsetikken kunne sikre at forskningen er forsvarlig. I medisinsk og helsefaglig forskning er det sikret ved forhåndsgodkjenning fra en Regional etisk komite for medisinsk og helsefaglig forskning (REK), som «skal foreta en alminnelig forskningsetisk vurdering av prosjektet» (helseforskningsloven § 5). Innen andre fagområder er det sikret ved etterlevelse av anerkjente forskningsetiske normer og retningslinjer (forskningsetikkloven § 4-5), forankret i institusjonell autonomi og akademisk frihet og ansvar (uh-loven § 2-2). Personvernregelverket må utformes på en måte som er forenelig med det faktum at personvern og forskningsetikk er regulert og forvaltet på forskjellig måte innen ulike fagområder.