En fremtidig EU-forordning om behandling av personopplysninger: mulige følger for forskning og forskningsetikk i Norge (Saksnr. 2014/33)

Last ned uttalelsen som pdf

Bakgrunn

De nasjonale forskningsetiske komiteene—Den nasjonale forskningsetiske komité for samfunnsvitenskap og humaniora (NESH), Den nasjonale forskningsetiske komité for naturvitenskap og teknologi (NENT) og Den nasjonale forskningsetiske komité for medisin og helsefag (NEM)—ønsker med dette å uttrykke sin bekymring omkring mulige utfall av prosessen henimot ny EU-lovgivning om behandling av personopplysninger.

EU har et par års tid diskutert et forslag til forordning om behandling av personopplysninger. Det var i hovedsak to grunner til at EU-kommisjonen tidlig i 2012 la fram forslaget til en slik forordning.

For det første har mange presset på for å styrke personvernet for europeiske borgere. Ny informasjonsteknologi gir både offentlige og private aktører bedre muligheter enn før til å registrere, lagre og bruke store mengder opplysninger om borgerne, uten deres viten eller samtykke. Dette kan stride mot artikkel 8 i Den europeiske menneskerettighetskonvensjonen (rett til respekt for privatliv og familieliv). Slik behandling av personopplysninger står også i et spenningsforhold til artiklene 3, 7 og 8 (hhv. rett til respekt for menneskets integritet, for privatliv og familieliv og beskyttelse av personopplysninger) i EUs charter om grunnleggende rettigheter.

For det andre har den nåværende EU-reguleringen av personvern – et direktiv fra 1995 (Direktiv 95/46/EF) – vist seg uegnet i bygging av det felles indre marked. Mens en forordning blir lov i alle medlemsland, er det opp til myndighetene i det enkelte land å bestemme hvordan et direktiv skal innarbeides i nasjonal lovgiving. Kommisjonen hevder at en forordning på dette området vil hindre ulik håndheving i forskjellige land og at en dermed kan spare store beløp for næringslivet, øke forbrukernes tillit til netthandel og generelt bidra til ny vekst, flere jobber og nyskaping.

Det er tankevekkende at knapt noen av de sentrale aktørene har begrunnet endringen med mulighetene for å oppnå forskningsmessige framskritt til beste for borgernes helse og velferd og relevante samfunnsinteresser. Tvert imot har noen deltakere i diskusjonen i praksis gått langt i retning av å underkjenne viktigheten av forskning og berettigelsen av noen typer bruk av personopplysninger for forskning.

Kort om noen hovedprinsipper for personvern og forskningsetikk i Norge

Den norske personopplysningsloven av 2000 (Lov om behandling av personopplysninger) følger opp EU-direktivet fra 1995. Et hovedprinsipp i loven er at behandling av personopplysninger skal bygge på frivillig informert samtykke fra den personen som opplysningene omhandler. Samtidig åpner paragraf 8 i loven blant annet for unntak fra dette prinsippet dersom formålet er å ivareta en berettiget interesse og hensynet til vedkommendes personvern ikke overstiger denne interessen (pkt. f). I følge paragraf 9 kan behandling av sensitive personopplysninger skje dersom den oppfyller et av vilkårene i paragraf 8, og behandlingen dessuten er nødvendig for ett av nærmere angitte formål. Ett av disse er statistiske eller vitenskapelige formål, hvis samfunnets interesse i at behandlingen finner sted klart overstiger ulempene den kan medføre for den enkelte. Med andre ord legger loven opp til en avveining av prinsippet om samtykke mot andre berettigede interesser. Blant disse interessene er å kunne gjennomføre forskning der innhenting av samtykke fra de berørte vil være praktisk umulig eller uforholdsmessig kostbart. I så fall må forskeren kunne sannsynliggjøre at denne forskningen vil kunne gi kunnskap av klar interesse for samfunnet.

Tilsvarende sier paragraf 13 i den norske helseforskningsloven av 2008 (Lov om medisinsk og helsefaglig forskning) at hovedregelen er at deltakelse i medisinsk og helsefaglig forskning skal bygge på samtykke fra deltakerne. Samtidig gjør lovens paragrafer 15 og 16 det klart at regional etisk komite kan tillate fravikelse fra kravet om samtykke i deltakelse i forskning. Dette kan bare skje dersom slik forskning er av vesentlig interesse for samfunnet og hensynet til deltakernes velferd og integritet er ivaretatt.

Forskningsetiske retningslinjer for samfunnsvitenskap, humaniora, juss og teologi (2006) fastslår også i retningslinje 9 at hovedregelen er at forskningsprosjekter som inkluderer personer bare kan settes i gang etter deltakernes informerte og frie samtykke. Likevel sier den samme retningslinjen at unntak fra kravet om informert samtykke kan være aktuelt i visse situasjoner blant annet dersom forskningen har en nytteverdi som klart overstiger de ulemper som kan oppstå for de berørte personene.

Erfaring tilsier at det i særlig grad er ved bruk av foreliggende registerdata for forskningsformål at det er aktuelt å avveie hovedprinsippet om innhenting av fritt informert samtykke mot hvilken betydningsfull interesse, forventet nytte eller verdi som forskningen vil ha for samfunnet. For en god del forskningsformål er bruk av foreliggende registerdata den eneste egnede datakilden, mens innhenting av samtykke vil innebære uforholdsmessig store kostnader og dermed gjør at forskningen i praksis ikke kan gjennomføres. Det er særlig det store antallet personer som i så fall måtte spørres om samtykke som skaper uforholdsmessig store kostnader, samtidig som nettopp det å ha opplysninger om en hel befolkning, aldersgruppe eller fødselskohort, eller f.eks. om alle som har mottatt en gitt type behandling eller hjelp i en bestemt periode, som gjør registerdata så verdifulle for forskning og dermed for den samfunnsnytte som resultatene vil kunne få.

Hva er nytt i forslag og motforslag til EU-forordning

I Kommisjonens opprinnelig forslag fra 25. januar 2012 ble det lagt opp til den samme type avveininger mellom personvernhensyn på den ene siden og hensyn til forventet samfunnsnytte eller verdi på den andre siden som vi kjenner fra Norge. Dessuten introduserte forslaget en del nye begreper som for eksempel “retten til å bli glemt”, dvs. muligheten til å få fjernet opplysninger om seg selv i ulike registre eller datasett. Men dette er også en betinget rett som skal kunne avveies mot samfunnsmessige interesser som kan tenkes å tilsi at opplysningene blir beholdt.

Norsk samfunnsvitenskapelig datatjeneste (NSD) var raskt ute og kritiserte Kommisjonens forslag for ikke å videreføre bestemmelsen i 1995-direktivet om at bruk for forskningsformål skal regnes som forenelig med det opprinnelige formålet for innsamlingen av personopplysninger (Artikkel 6, 1.b, annet ledd). Utover dette karakteriserte NSD forslaget som generelt forskningsvennlig og i kontinuitet med det gjeldende direktivet.

Mot slutten av 2012 og utover i 2013 ble det klart at krefter i Europaparlamentet og da særlig i LIBE-komiteen (The Committee on Civil Liberties, Justice, and Home Affairs), hadde vesentlige innsigelser mot Kommisjonens forslag. Komiteen foreslo betydelige innstramninger for å styrke personvernet og nedtonte samtidig berettigelsen eller verdien av å bruke allerede innsamlede personopplysninger for forskningsformål. Særlig i starten var komiteens leder (“rapporteur”) Jan Philip Albrecht (EU-parlamentsmedlem fra det tyske partiet Bündnis 90/Die Grünen) en sterk talsperson for drastiske innstramninger. I komiteens videre behandling av forslaget til forordning ble en god del av de mest drastiske innstramningsforslagene moderert eller droppet.

Tolvte mars 2014 sluttet et stort flertall i EU-parlamentet seg til LIBE-komiteen forslag til endringer av Kommisjonens opprinnelige forslag. Selv etter komiteens modereringer innebærer det forslaget som flertallet har samlet seg om, svekkede muligheter for å bruke forskningsdata med personopplysninger uten samtykke fra de berørte personene, eller eventuelt uten et fornyet og spesifikt samtykke til ytterligere bruk av slike opplysninger. Dermed blir bruk av såkalte brede samtykker ikke mulig. Ellers er noen av de mest drastiske innstramningene å finne i Artikkel 81 i Europaparlamentets forslag:

• Som hovedregel betinger behandling av helseopplysninger for forskningsformål et samtykke fra de berørte personene (Artikkel 81, paragraf 2).
• Samtidig foreslår Europaparlamentet å gi nasjonale myndigheter rett til å utforme regler angående unntak fra kravet om innhenting av samtykke når historiske, statistiske eller vitenskapelige formål gjør slike unntak nødvendige, gitt at spesifiserte krav er oppfylt (Artikkel 81, 2a). (Enkelte av kravene fortoner seg ut fra norsk praksis seg som mindre oppsiktsvekkende: Forskningen må være av sterk offentlig interesse, og det er ikke mulig å gjennomføre forskningen på annen måte.)
• Forslaget krever anonymisering av de dataene som skal brukes, i enkelte tilfeller “pseudonymisering”. Forskere vil ha plikt til å iverksette alle mulige tiltak for å hindre gjenkjenning eller identifisering av de berørte personene. Det skal også være mulig for berørte å motsette seg at data om dem blir brukt til forskningsformål (Artikkel 81, paragraf 2a).

Det er ikke opplagt om eller hvordan disse kravene vil kunne la seg forene i praksis. Gitt begrunnelsen for å erstatte 1995-direktivet med en forordning, virker det paradoksalt at LIBE-komiteen foreslår å delegere til nasjonale myndigheter å utforme regler for unntak fra krav om informert samtykke i forskning. Det var jo blant annet nasjonal forskjellsbehandling Kommisjonen ville til livs.

Kommisjonens forslag til Artikkel 83 om behandling av data for historiske, statistiske og forskningsmessige formål ble sterkt redusert av Europaparlamentet. Det heter nå at behandling av personopplysninger for historiske, statistiske og vitenskapelige formål kun kan skje dersom slik forskning ikke lar seg gjennomføre med data som umuliggjør identifisering av personer. Dessuten skal data som kobler informasjon til et berørt datasubjekt, holdes strengt adskilt fra annen informasjon. Databehandler må ta i bruk alle nødvendige skritt for å hindre reidentifisering av et datasubjekt. Parlamentet strøk en paragraf som ga Kommisjonen anledning til å utarbeide mer detaljerte kriterier og krav for behandling av data for historiske, statistiske og forskningsmessige formål.

Situasjonen i dag er at talspersoner for Europaparlamentet presser på for at den videre prosessen med forhandlinger mellom Parlamentet og Rådet skal starte. Foreløpig er representantene for regjeringene i medlemslandene ikke blitt enige om en felles posisjon før forhandlingene med Europaparlamentet kan begynne. I mai 2014 var det nyvalg til Europaparlamentet, noe som tilsier at forhandlingene kommer til å skje etter at det nye parlamentet har konstituert seg. Det er også relevant at ministerrådet i EU etter sitt møte 5.-6. juni kan komme med endringsforslag til dokumentet.

Dette betyr at det fremdeles er muligheter for norske myndigheter til å gi ytterligere innspill før prosessen er sluttført.

De nasjonale forskningsetiske komiteene sin samlede vurdering

Det er grunn til å være urolig over de innstramningene i det forslaget til ny forordning som et flertall i Europaparlamentet sluttet seg til våren 2014. Hvis Rådet i forhandlingene skulle velge å komme Europaparlamentet i møte på noen av disse forslagene, vil det kunne få uønskede og beklagelige følger for mulighetene til å gjennomføre forskning av stor samfunnsmessig verdi og nytte. Det er viktig at norske myndigheter framholder at det ved forskningsetisk vurdering av forskningsprosjekter bør være en balansert avveining mellom personvern for de berørte og forskningens forventede verdi og nytte for samfunnet.

Mest åpenbart vil Europaparlamentets forslag kunne skade mulighetene for registerbasert forskning som ikke er basert på innhenting av samtykke fra dem som inngår i registeret. Også annen forskning der en skal samle inn eller behandle sensitive opplysninger kan bli skadelidende.

Mye av den relevante forskningen har en samfunnsverdi som ikke bør overses i denne sammenhengen. Tendensen synes å ha vært ikke bare at forskningens verdi i for stor grad har måttet gi tapt overfor personvernets verdi i prosessen så langt, men snarere at disse to verdiene er tenkt som nødvendige motsetninger i større grad enn nødvendig. Europaparlaments innstramninger synes for eksempel ikke å åpne for at solide, velorganiserte og grundige ordninger for forskningsetisk forhåndsvurdering av prosjekter—kombinert med teknisk gode løsninger for databehandlingssikkerhet i gjennomføringsfasen — kan fjerne eller sterkt redusere ulemper av personvernmessig eller forskningsetisk art for de berørte personene. Tilsvarende er det påfallende at EU i noen sammenhenger — jf. det store nye forskningsprogrammet Horisont 2020 — ønsker bruk av koblede registerdata for å kunne belyse for eksempel langtidsvirkningene av å ha vært lenge arbeidsledig som ung, mens EU-parlamentet synes å se fullstendig bort fra verdien og samfunnsnytten av bruk av registerdata som ikke er basert på samtykke fra alle dem som inngår i registeret.

Forskning som risikerer å bli vanskeligstilt eller endog umuliggjort hvis teksten i sin nåværende form utgjør sluttresultatet, er av betydning for å sikre og å bedre den europeiske befolkningens helse og velferd. Til syvende og sist er dette også forskning som spiller en rolle for europeisk politisk legitimitet, fordi våre demokratiske beslutningsformer baserer seg på tilgang til forskning som kan fortelle innbyggere og beslutningstakere om utfordringer, sammenhenger og muligheter på en måte ingen annen kilde er i stand til å gjøre. På grunnlag av det ovenstående vil De nasjonale forskningsetiske komiteene minne norske myndigheter om samfunnsverdien av forskning som finner sted uten innhenting av samtykke fra de berørte, og om hvordan man i Norge har utviklet effektive rutiner for forskningsetisk vurdering av prosjekter og teknisk avanserte systemer for sikring av behandling av personopplysninger på en måte som har minimalisert de personmessige ulempene ved bruk av registerdata i forskning.

På vegne av De nasjonale forskningsetiske komiteene NESH, NENT og NEM

Bjørn Hvinden
Komiteleder NESH

Øyvind Mikkelsen
Komiteleder NENT

Dag Bruusgaard
Komiteleder NEM

Hallvard Fossheim
Sekretariatsleder NESH

Helene Ingierd
Sekretariatsleder NENT

Jacob Hølen
Sekretariatsleder NEM

Kopi:

Kunnskapsdepartementet (postmottak@kd.dep.no)
The Norwegian Mission to the EU (eu.brussels@mfa.no)