Berge Solberg og Hilde Eikemos diskusjonsinnlegg (1) gjelder utelukkende forskning basert på allerede innhentede persondata. De baserer sin diskusjon på at Helseforskningsloven gjelder for slik forskning og at REKs vurdering kreves. Verken Helseforskningsloven eller REKs vurdering gjelder for bearbeiding av foreliggende data. Også Datatilsynet påpeker dette (2).
Bearbeiding av persondata er underlagt Personopplysningsloven og «General Data Protection Regulation» (GDPR). Lovene gir personer rettigheter over egne data (kapittel 3 i GDPR), men også betydelige avvik fra disse rettigheter når data benyttes i samfunnsmessig og helsefaglig forskning. Disse avvik er redegjort for i en kommentar på tidsskriftet.no (3).
På lik linje med Jacob C. Hølen, som omtaler dette i en kommentar på tidsskriftet.no (4), legger Solberg og Eikemo til grunn at ved bearbeiding av persondata er samtykkekravet fundamentalt: Det er en «menneskerett», en «grunnverdi», et «hovedkrav». Dette er ikke i tråd med recital - forarbeid - nummer 4 til GDPR: «Retten til vern av personopplysninger er ikke en absolutt rettighet; den må ses i sammenheng med den funksjon den har i samfunnet, og veies mot andre grunnleggende rettigheter i samsvar med forholdsmessighetsprinsippet.»
Solberg og Eikemo hevder videre at unntak fra samtykkekravet er «en unntaksregel som skal praktiseres strengt»: Samfunnets interesser skal ikke gå foran enkeltpersoners rettigheter. Lovene sier snarere det motsatte. Artikkel 89.2 i GDPR gir rett til avvik fra de aktuelle rettigheter, inkludert retten til å være informert, «Når personopplysninger behandles for formål knyttet til vitenskapelig eller historisk forskning eller for statistiske formål (…) i den grad det er sannsynlig at slike rettigheter vil gjøre det umulig eller i alvorlig grad vil hindre oppfyllelsen av de spesifikke formålene (…)».
I forbindelse med et oppslag i Aftenposten ble personverninstitusjonens feilaktige lovanvendelse påvist. Det ble da påpekt at et helsedatautvalg skulle gi en avklaring. Så langt foreligger ikke en avklarende lovfortolkning, men forslag til nye forvaltningsorganer (5). I forarbeidet til GDPR erkjennes problemer som kan oppstå for forskjellige sektorer og det anbefales at «behandlingsansvarlige», altså helsepersonell, kommer sammen og får utarbeidet «atferdsnormer» (Codes of conduct) for sitt fagområde (recital 98). Det bør bemerkes at i Helsedatautvalget finnes ingen som kan kalles behandlingsansvarlig helsepersonell.
Litteratur:
1. B Solberg, H Eikemo. Passivt samtykke til passiv deltakelse? Tidsskr Nor Legeforen 2021:141. doi: 10.4045/tidsskr.20.0654
2. Datatilsynet. Helse og forskningsprosjekter. https://www.datatilsynet.no/personvern-pa-ulike-omrader/forskning-helse-... (lest 10.02.2021).
3. AK Befring. Unntak fra samtykke. Tidsskrift for Den norske legeforening 30.03.2020. ://tidsskriftet.no/2020/03/kommentar/unntak-fra-samtykke (lest 10.02.2021).
4. JC Hølen. Samtykke og forskning på Covid-19. Tidsskrift for Den norske legeforening 26.03.2020. https://tidsskriftet.no/2020/03/kommentar/samtykke-og-forskning-pa-covid-19 (lest 10.02.2021)
5. Rapport fra Helsedatautvalget. Et nytt system for enklere og sikrere tilgang til helsedata. https://www.regjeringen.no/contentassets/1fe9cf37e64344e1a3b3c62f950b100... (lest 10.02.2021)