Kirurgisk klinikk
St. Olavs hospital
Hun har bidratt med idé, utforming av studien, datainnsamling, analyse, tolkning, litteratursøk, og utarbeiding og godkjenning av manus.
Anne-Katrine Lislegaard Næs er master i klinisk helsevitenskap og sykepleier ved Kirurgisk klinikk, St. Olavs hospital.
Forfatteren har fylt ut ICMJE-skjemaet og oppgir ingen interessekonflikter.
Regionalt senter for helsetjenesteutvikling
St. Olavs hospital
og
Institutt for samfunnsmedisin og sykepleie
Norges teknisk-naturvitenskapelige universitet
Han har bidratt med idé, utforming av studien, analyse, tolkning, litteratursøk, og revisjon og godkjenning av manus.
Vidar Halsteinli er ph.d., helseøkonom og forsker ved St. Olavs hospital, og førsteamanuensis ved Institutt for samfunnsmedisin og sykepleie, NTNU.
Forfatteren har fylt ut ICMJE-skjemaet og oppgir ingen interessekonflikter.
E-post: arne.seternes@stolav.no
Karkirurgisk seksjon
Kirurgisk klinikk
St. Olavs hospital
og
Institutt for sirkulasjon og bildediagnostikk
Norges teknisk-naturvitenskapelige universitet
Han har bidratt med idé, utforming av studien, analyse, tolkning, litteratursøk, og utarbeiding, revisjon og godkjenning av manus.
Arne Seternes er ph.d., spesialist i generell kirurgi, gastrokirurgi og karkirurgi, overlege ved Karkirurgisk seksjon, St. Olavs hospital, og forsker ved Institutt for sirkulasjon og bildediagnostikk, NTNU.
Forfatteren har fylt ut ICMJE-skjemaet og oppgir ingen interessekonflikter.
Artikkelen til Anne-Katrine Lislegaard Næs og medarbeidere om vanndampbehandling versus stripping av vena saphena magna ved åreknuter som nylig ble pulisert i Tidsskriftet (1), er et eksempel på prosjekter som det så absolutt bør gjennomføres langt flere av. Vi tror at mange klinikere unnlater å gjennomføre slike studier fordi de er usikre på hvordan prosjektet skal forankres formelt, ikke minst etter de nylige endringene i personvernlovgivningen. Etter vår oppfatning er det derfor vesentlig at man ved publiseringen redegjør tydelig for hjemmelsgrunnlaget.
REK har i denne saken uttalt at studien faller utenfor deres mandat, det vil si at helseforskningsloven ikke kommer til anvendelse. Videre har REK innvilget fritak fra taushetsplikten etter helsepersonelloven § 29, bruk av taushetsbelagte helseopplysninger til bruk i annen type forskning, for identifisering av pasienter som kunne være aktuelle å inkludere, altså for rekruteringsprosedyren. Dette innebærer at selve studien reguleres uttømmende av personvernregelverket. Datatilsynet skriver i sin veileder «Behandlingsgrunnlag» at all behandling av personopplysninger, må ha et rettslig grunnlag for å være lovlig (2). Det at pasientene samtykker til deltakelse, er en vesentlig og nødvendig del av et slikt rettsgrunnlag. Men verken etter gammel eller ny lovgivning, er samtykke alene et tilstrekkelig behandlingsgrunnlag når det gjelder helseopplysninger. Etter gammel lovgivning måtte prosjektleder avklare med personvernombud om studiens behandlingsgrunnlag kunne gis i form av meldeplikt etter tidligere personopplysningslov § 31 eller konsesjonsplikt etter § 33 i samme lov. Mer interessant er imidlertid behandlingsgrunnlaget etter nytt personvernregelverk for forskning som faller utenfor helseforskningslovens virkeområde. Med forbehold om at vi ikke kjenner studien i detalj, vil samtykke være hjemlet i personvernforordningen artikkel 6, nr. 1 bokstav a (personopplysninger) og artikkel 9, nr. 2 bokstav a (særlige kategorier personopplysninger). Siden det her altså behandles særlige kategorier personopplysninger (helseopplysninger, tidligere sensitive personopplysninger) på grunnlag av samtykke, utløses det også en rådføringsplikt med personvernombudet etter ny personopplysningslov § 10.
Vi mener at dette behandlingsgrunnlaget i dette tilfellet burde vært noe nøyere redegjort for i artikkelens metodedel, utover det at samtykke fra pasientene ble innhentet. Gode beskrivelser av slike forhold vil være nyttige for andre som ønsker å gjennomføre liknende studier. Slike beskrivelser vil sannsynligvis også vise at selv om dagens lovgivning er komplisert, er den slett ikke umulig å etterleve.
Litteratur
1. Næs AKL, Halsteinli V, Seternes A. Vanndampbehandling versus stripping av vena saphena magna ved åreknuter. Tidsskr Nor Legeforen 2019, doi: 10.4045/tidsskr.18.0525
2. Datatilsynet. Behandlingsgrunnlag. https://www.datatilsynet.no/regelverk-og-verktoy/veiledere/veileder-om-b... (27.3.2019).
Inger Hjørdis Bleskestad og Geir Sverre Braut (1) synes å mene at arbeidet til Næs, Halsteinli og Seternes om behandling av åreknuter (2) mangler behandlingsgrunnlag. Det er flere sider ved Bleskestad og Brauts redegjørelse som kan være tvilsomme.
Jeg finner ikke begrunnelsen for å hevde at Helseforskningsloven ikke kommer til anvendelse for de studier som REK/NEM mener faller utenfor deres mandat. Bleskestad og Braut må kunne vise til lovverket for å begrunne sin påstand.
Mange lover kommer til anvendelse for å vurdere lovligheten av å anvende persondata i forsking. De viktigst er Personvernloven, Helseforskningsloven og Helseregisterloven samt EU-direktivet, benevnt «General Data Protection Regulation» (GDPR), som defineres som norsk lov. Bleskestad og Braut viser til Datatilsynets orientering om Personvernloven og GDPR (3), denne er neppe tilfredsstillende for vårt bruk. Vi må basere oss på lovene og GDPR, ikke på forskjellige orienteringer og fortolkninger som foreligger. De kan være mangelfulle.
Det er en uoverensstemmelse mellom GDPR og Personvernloven når det gjelder plikt til å rådføre seg med personvernet ved bruk av «særlige kategorier av personopplysninger». GDPR anbefaler at forskeren selv vurderer behovet for å innhente slike råd. Dessuten, både loven og GDPR påpeker at hvis personvern er ivaretatt på andre måter, er rådføring med personvernet unødvendig. Sannsynligvis gir taushetsplikt og ivaretagelse av konfidensialitet et nødvendig personvern.
«Helse» tilhører altså en «særlig kategori personopplysning». Verken loven eller GDPR gir en begrunnelse for denne kategorien, det gis bare en oppramsing av datatyper. «Særlige personopplysninger» synes imidlertid å bestå av opplysninger som kan påvirke rettigheter, friheter og muligheter i det sivile samfunnet; for eksempel opplysninger om kompetanse, politiske og religiøse oppfatninger samt seksuell legning; og det påpekes spesielt aktpågivenhet hvis slike opplysninger bearbeides av banker, forsikringsselskaper og arbeidsgivere. Helse er altså med på denne oppramsingen, men hva begrepet innebærer er uklart. Helseopplysninger kan være av typen «god eller dårlig helse» eller «kronisk sykdom» eller en diagnose; altså data som personer selv kan, og noen ganger må, opplyse om, for eksempel til forsikringsselskaper. Medisinske faglige data kan imidlertid tilhøre en helt annen kategori og vil oftest kun si noe om «helse» når de håndteres av en medisinsk fagperson.
GDPR åpner for unntak, eller rettere sagt lettelser fra de generelle personvernregler når data benyttes i forskning. Et forarbeide til EU-forordningen påpeker spesielt viktigheten av å kunne utføre registerforskning (4). Kravet for å anvende nevnte lettelser er at forskningen kan forventes å ha en nytteverdi som overstiger eventuelle personlige ulemper (risiko for brudd på konfidensialitet). Dette krever en avveining som både lovene og GDPR forutsetter blir utført av NEM/REK. Dette krever komiteer som, ikke vurderer etikk, men forskningens nytteverdi og kvalitet. At slik vurdering overlates til personverninstitusjonen, som oftest verken har spesiell medisinsk, forskningsteknisk eller juridisk kompetanse, er neppe verken lovens eller GDPRs intensjon.
Litteratur:
1 Bleskestad IH, Braut GS. Informasjon om behandlingsgrunnlaget etterlyses. Tidsskr Nor Legeforen 2019, doi: 10.4045/tidsskr.19.0274
2 Næs AKL, Halsteinli V, Seternes A. Vanndampbehandling versus stripping av vena saphena magna ved åreknuter. Tidsskr Nor Legeforen 2019, doi: 10.4045/tidsskr.18.0525
3: Datatilsynet. Behandlingsgrunnlag. https://www.datatilsynet.no/regelverk-og-verktoy/veiledere/veileder-om-b...
4: Europaparlaments- og rådsforordning (EU) 2016/679 av 27. april 2016 om vern av fysiske pesoner i forbindelse med behandling av personopplysninger og om fri utveksling av slike opplysninger samt om oppheving av direktiv 95/46/EF. Tilgjengelig fra https://lovdata.no/dokument/NL/lov/2018-06-15-38/*#*
Arne Høiseth (1) tillegger oss en oppfatning om at bruken av pasientopplysninger i en klinisk observasjonsstudie (2) mangler et behandlingsgrunnlag etter personopplysningsloven. Dette vil vi gjerne avvise. Vi har ikke grunnlag for verken å bekrefte eller avkrefte om det finnes et behandlingsgrunnlag som tilfredsstiller kravene i personopplysningsloven. Det vi har etterlyst, er en nærmere omtale av dette (3). Det er noe helt annet enn å påstå at det ikke finnes.
Høiseth etterlyser også en begrunnelse for å hevde at helseforskningsloven ikke kommer til anvendelse for studier som REK har funnet at faller utenfor deres mandat. Dette framkommer som en direkte følge av bestemmelsen i § 9 i helseforskningsloven om at forskningsprosjektet må være forhåndsgodkjent av REK. Kort sagt: Alle prosjekter som faller inn under helseforskningsloven skal godkjennes av REK. Men slett ikke alle forskningsprosjekter som utføres innenfor helsetjenesten faller inn under denne loven. I tilfeller hvor det er tvil om hva som faller innenfor lovens saklige virkeområde, avgjøres det av REK. For en nærmere drøfting av dette, og av rekkevidden av § 9, henvises til spesiallitteratur (4).
Like fullt kan det være mange gode grunner til at man selv i forbindelse med prosjekter som faller utenfor lovens virkeområde velger å se hen til kravene i loven når forskningsprosjekter planlegges og utføres.
Høiseth påpeker også at det er forskjeller mellom kravene i personopplysningsloven, som ikke heter personvernloven, og personvernforordningen, som er en forordning og ikke et direktiv. Det framkommer av forordningens artikkel 6 nr. 2 og artikkel 9 nr. 4 at den enkelte stat kan ha mer spesifikke bestemmelser for å tilpasse kravene nasjonalt. Ny personopplysningslov er slik vi har forstått det, utformet nettopp for å kunne gi et supplerende rettsgrunnlag da Norge ikke har en egen forskningslov som dekker forskning utenfor helseforskningslovens virkeområde. Nærmere om de relativt kompliserte avveiningene som må gjøres i slike tilfeller er også omtalt i spesiallitteratur (5).
Vi kan derfor ikke se at det eksplisitte kravet om rådføringsplikt med personvernombudet som er fastsatt i § 10 i personopplysningsloven kan fortolkes slik Høiseth gir uttrykk for. Når opplysninger om helse og sykdom skal behandles i et forskningsprosjekt som faller utenfor helseforskningslovens bestemmelser, kan man ikke unnlate å rådføre seg med personvernombudet.
Litteratur:
1. Høiseth A. Hva sier lovene og forordningen? Tidsskr Nor Legeforen 2019, 14.5.2019.
2. Næs AKL, Halsteinli V, Seternes A. Vanndampbehandling versus stripping av vena saphena magna ved åreknuter. Tidsskr Nor Legeforen 2019, doi: 10.4045/tidsskr.18.0525
3. Bleskestad IH, Braut GS. Informasjon om behandlingsgrunnlaget etterlyses. Tidsskr Nor Legeforen 2019, doi: 10.4045/tidsskr.19.0274
4. Simonsen S. Helseforskningsloven med kommentarer. Oslo: Gyldendal Juridisk, 2014.
5. Skullerud ÅMB, Rønnevik C, Skorstad J, Pellerud ME. Personvernforordningen (GDPR). Kommentarutgave. Oslo: Universitetsforlaget, 2018.
Bleskestad og Brauts kommentarer (1) kan forankre feilaktige oppfatninger.
Loven om persondata og EU-forordningen (GDPR) setter strenge krav til bearbeiding av persondata, men inneholder også regler om lemping på de generelle kravene når data bearbeides i forskning, forutsatt at prosjektet er være forhåndsgodkjent. Problemet oppstår ved den praksis som REK/NEM følger. For å løse den floken, som har eksitert før GDPR, har ”The International Epidemiological Association” forelsått at "some epidemiologic research to be removed from ethics committees and instead be approved by people versed in data protection" (2).
S. Simonsen (3), støtter ikke Bleskestad og Brauts oppfatning, derimot påpekes at skillet mellom forskning og kvalitetssikring er uklar og at «ved tvil om et prosjekt skal behandles av REK eller ikke bør dessuten virksomheten anses som helseforskning som faller inn under helseforskningsloven og som skal behandles av REK.»
Videre påpekes at REK ikke fritt kan tolke helseforskningsloven som de vil. Lovfortolkningen bør derfor overlates til kompetente organer, som er domstolene. I alt for liten grad blir slike spørsmål avgjort rettslig adekvat, noe ikke minst Befring (4) synes å påpeke.
Hensiktene med helseforskningsloven var å unngå et fragmentert og komplisert regelverk: «Vi utarbeidet derfor et utkast til én lov som ville dekke hele feltet medisinsk og helsefaglig forskning på mennesker, humant biologisk materiale og helseopplysninger: helseforskningsloven.» (3). En sak, omtalt i Tidsskiftet, (5) viser at den praksis REK/NEM følger kan være i strid med helseforskningslovens intensjoner.
Boken (3) er ikke oppdatert på den nye loven om behandling av persondata eller på GDPR, en derfor se hen til loven og GDPR. Bleskestad og Braut (REF) viser til paragraf 10 i loven om bearbeiding av personopplysninger når de hever at det er en eksplisitt rådføringsplikt med personverninstitusjonen. Paragraf 10 baseres på den foregående paragrafen, paragraf 9 som sier: «Rådføringsplikten gjelder likevel ikke dersom det er utført en vurdering av personvernkonsekvenser etter personvernforordningen artikkel 35.»
Vern av personopplysninger i forskning må ivaretas av institusjoner med høy juridisk, medisinsk, forskningsteknisk og datateknisk kompetanse. Personvernet har i dag ikke denne kompetansen, heller ikke Datatilsynet, kanskje heller ikke etikkomiteer.
Referanser:
1 Bleskestad IH, Braut GS. Rådføringsplikt kan ikke fortolkes bort! https://tidsskriftet.no/2019/06/kommentar/radforingsplikten-kan-ikke-for...
2 IEA. Good epidemiological practice (GEP) conduct in epidemiologic research. [Online].2007 January 9 [cited 2007 July 10]. Available from: http://www.dundee.ac.uk/iea/GEP07.htm.
3 Simonsen S. Helseforskningsloven med kommentarer. Oslo: Gyldendal Juridisk, 2014.
4 Befring AK. Misforståelser om GDPR og risikoen for vridningseffekter. Dagens Medisin blogg14.12.2018. https://www.dagensmedisin.no/blogger/anne-kjersti-befring/2018/12/14/mis... (27.1.2019).
5 Nielssen BE. Melding fra en amatørartikkelforfatter. Tidsskr Nor Legeforen 2018; 138. doi: 10.4045/tidsskr.18.0762.
Tidsskrift for Den norske legeforening, Postboks 1152 Sentrum, 0107 OSLO
Sentralbord: 23 10 90 00 • E-post: redaksjonen@tidsskriftet.no
Sjefredaktør Are Brean • Tidsskriftet redigeres etter redaktørplakaten
Kommentarer