Personopplysninger er en svært ettertraktet vare. Bruksområdene er mange, det kommersielle potensialet stort og markedskreftene sterke. EUs nye personvernforordning (GDPR) balanserer hensynet til personvern mot fri utveksling av data.
EUs personvernforordning (GDPR) er gjenstand for stor oppmerksomhet også innen forskningen. Siden de fleste forskningsprosjekter er internasjonale, er det viktig å avklare spørsmål om datadeling over landegrenser. Forskere innen jus fra mange land bidrar i den interdisiplinære, vitenskapelige debatten med sikte på å finne balanserte og bærekraftige løsninger (1). Vi ønsker her å synliggjøre noen av elementene man fra vitenskapelig hold er opptatt av rundt EUs personvernforordning.
Både innen forskningen og i mediedebattene har personvern stått sentralt (2). Men EUs personvernforordning har to ansikter. Det fremkommer allerede av forordningens navn: «om vern av fysiske personer i forbindelse med behandling av personopplysninger og om fri utveksling av slike opplysninger» (3). Av formålsbestemmelsen fremgår det at «[f]ri utveksling av personopplysninger i Unionen skal verken begrenses eller forbys av årsaker knyttet til vern av fysiske personer i forbindelse med behandling av personopplysninger» (3, art. 1 nr. 3). EUs personvernforordning har altså balansert disse to formålene – personvern og fri utveksling – slik at man ved å følge personvernreglene lovlig og med god samvittighet kan dele personopplysninger. Gjennom forordningen etableres ordninger som skal være felles for landene i EU/EØS for å sikre at ingen bruker svakt personvern som konkurransefortrinn eller at personvern brukes som skinnargument for å hindre konkurranse.
I helsesektoren ser vi hvordan land med liten eller ingen personvernbeskyttelse kan gjennomføre forskning og produktutvikling som går langt videre enn det europeiske helseforetak og selskaper har lov til (4). Derfor begrenser da heller ikke EUs personvernforordning seg til kun å gjelde virksomheter som er etablert i EU/EØS-området, men også virksomheter utenfor disse landene som tilbyr varer eller tjenester til individer i EU eller monitorerer EU-borgeres atferd (3, art. 3).
Deling av data
Forordningen gjør det lettere for norske forskere og helsepersonell å dele personopplysninger med kolleger i andre europeiske land, siden den etablerer strenge og harmoniserte standarder for behandling av personopplysninger. Dermed kan norske sykehus som vil samarbeide med sykehus i Tyskland eller Spania, gjøre dette vel vitende om at personopplysningene vil bli behandlet like trygt og på samme måte i de landene. Forordningen kan i så måte bidra til mer og bedre forskning og helsehjelp og være et nyttig verktøy for internasjonalt samarbeid (5). For å beholde EUs personvernforordning som et nyttig internasjonalt verktøy, er det essensielt at ikke hvert land tolker regelverket på sitt eget vis, men at man enes i EU om hvordan regelverket skal forstås.
Hvordan man best bør gå frem for å publisere funn og tilgjengeliggjøre data, hersker det usikkerhet rundt i forskermiljøene (6). Dette er spørsmål forskere ikke bare i Norge, men i hele EU/EØS-området står overfor, og som må løses på et overordnet plan. Det gjenstår å finne gode løsninger for å gjøre medisinske forskningsdata tilgjengelig i tråd med EUs personvernforordning. Det er helt avgjørende å kunne etterprøve forskningsfunn, samtidig som det er viktig at andre forskere skal kunne bygge videre på den forskningen som allerede er utført. Mange europeiske forskere har i dag problemer med å få publisert sine forskningsfunn fordi flere av de nåværende løsningene for å tilgjengeliggjøre forskningsdata i forbindelse med vitenskapelig publisering er amerikanske og ikke innfrir EUs personvernkrav eller ivaretar forskningsdeltakernes rettigheter (7).
EUs personvernforordnings hovedoppgave er å balansere de to formålene om personvern og fri utveksling av personopplysninger. Det er derfor fullt mulig å lage mer effektive, praktiske og bærekraftige løsninger for datadeling innenfor rammene av forordningen.
