Arne Høiseth skriver i sin kommentar at «verken helseforskningsloven eller REKs vurdering gjelder for bearbeiding av foreliggende data», og legger til at «også Datatilsynet påpeker dette.» Han synes altså å hevde at dersom man forsker på allerede innsamlede helseopplysninger, så trenger man verken REK-godkjenning eller samtykke. Skulle Høiseth ha rett ville det innebære at debatten om passivt kontra aktivt samtykke i de etiske komiteene er irrelevant. Det ville også innebære at REK- og NEM-systemet har drevet en juridisk feilaktig praksis over flere år.
Men Høiseth tar nok feil. Han blander ulike regelverk. Helseforskning reguleres av flere lover, hvorav helseforskningsloven er den mest sentrale. Personopplysningsloven, hvor GDPR i sin helhet er tatt inn i § 1, gjelder utfyllende. Et forskningsprosjekt på allerede innsamlede helseopplysninger trenger både en etisk godkjenning og et behandlingsgrunnlag.
Før GDPR ble tatt inn i norsk lov sommeren 2018 var en forhåndsgodkjenning fra REK en etisk godkjenning, men også et tilstrekkelig behandlingsgrunnlag for behandling av personopplysninger i forskningsprosjekter. Da GDPR ble norsk lov ble dette endret, og REK skal ikke lenger vurdere om behandlingen av personopplysninger oppfyller kravene i personvernregelverket. Behandlingsansvarlig har nå overtatt dette ansvaret. REK skal likevel foreta en etisk vurdering av forskningsprosjektene – også prosjekter som utelukkende tar i bruk allerede innsamlede helseopplysninger.
I helseforskningsloven § 2 om lovens saklige virkeområde står det i første ledd at «Loven gjelder for medisinsk og helsefaglig forskning på mennesker, humant biologisk materiale eller helseopplysninger. I annet ledd står det videre at «For behandling av helseopplysninger gjelder personvernforordningen og personopplysningsloven med forskrifter, i den utstrekning ikke annet følger av denne loven. For opplysninger som er taushetsbelagte etter helsepersonelloven § 21, og for opplysninger om avdøde personer gjelder bestemmelsene i loven her om behandling av helseopplysninger så langt de passer.» Videre heter det i § 33 at «Behandling av helseopplysninger i medisinsk og helsefaglig forskning krever forhåndsgodkjenning fra den regionale komiteen for medisinsk og helsefaglig forskningsetikk etter kapittel 3.»
Høiseth viser til en informasjonsside hos Datatilsynet. Der står det om behandlingsgrunnlag. Hadde Høiseth lest videre nedover på samme siden hadde han oppdaget at det også står at «REK skal fremdeles gjøre etiske vurderinger og gi dispensasjon fra taushetsplikt.»(1). Høiseths kommentar bommer. REK- og NEM-systemet har forstått reguleringen av forskning på helsedata korrekt, og debatten om passivt vs. aktivt samtykke kan fortsette.
Litteratur:
1. Datatilsynet. Helse og forskningsprosjekter. https://www.datatilsynet.no/personvern-pa-ulike-omrader/forskning-helse-... Lest 12.02.2021.