Uttalelse om prosjektet «Etterforskning av uventede barnedødsfall» (2016/316)

Datatilsynet sendte 21. juni 2016 en anmodning til Politihøgskolen om prosjektet «Etterforskning av uventede barnedødsfall». Anmodningen ble samtidig sendt i kopi til både NESH og Norsk senter for forskningsdata (NSD). 25. august mottok NESH en henvendelse fra NSD, inkludert et notat fra prosjektleder og stipendiat Lillian Bøylestad, med anmodning om en forskningsetisk vurdering av prosjektet. NSD ba om en felles og prinsipiell vurdering av denne saken og tre andre saker som var oversendt til NESH fra Datatilsynet (tilsynets saksnr. 16/00018, 16/00431, 16/00732). Alle de fire sakene handler om avveiing mellom personvern og samfunnsnytte, og alle involverer en rekke offentlige instanser med ulike oppgaver og mandat.

Saken ble behandlet på møte i NESH 22. oktober 2016.

Bakgrunn

Prosjektet er finansiert av Folkehelseinstituttet og er tenkt som et doktorgradsprosjekt for Lillian Bøylestad, koordinator for ordningen med dødsstedsundersøkelser ved Folkehelseinstituttet. Behandlingsansvarlig institusjon er Politihøgskolen, og veilederen er Tor-Geir Myhrer. Prosjektet skal undersøke politiets etterforskning i saker med plutselige og uventede dødsfall hos barn under fire år fra hele landet over en tiårsperiode (2005–2014), særlig med hensyn til endringer etter at etterforskningsplikten trådte i kraft i juli 2011. Det er kvaliteten på politiets arbeid som skal undersøkes, ikke eventuelle strafferettslige forhold. I gjennomgangen av materialet får forskerne tilgang til svært sensitive personopplysninger.

Rådet for taushetsplikt og forskning (07.03.2016) og Riksadvokaten (06.04.2016) ga dispensasjon fra taushetsplikt, og Politidirektoratet (09.05.2016) sluttet seg til dette.

Vilkåret for de tre vedtakene var at forholdet til personopplysningslovens melde- og konsesjonsplikt ble ivaretatt gjennom melding til personvernombudet for forskning, i dette tilfellet Norsk senter for forskningsdata (NSD).

I meldingen til Datatilsynet la Personvernombudet ved NSD (07.04.2016) til grunn at prosjektet utløser konsesjonsplikt jf. personopplysningsloven § 33. Anbefalingen var at prosjektet kan behandles med hjemmel i §§ 8 d) og 9 h) i personopplysningsloven, det vil si at prosjektet har «allmenn interesse» og at «samfunnets interesse i at behandlingen finner sted klart overstiger ulempene den kan medføre for den enkelte». Videre ble det argumentert for unntak fra informasjonsplikt med henvisning til at det er utilrådelig (§ 23 c).

Datatilsynet (21.06.2016) slo fast at personopplysningsforskriften § 7–27 ikke kommer til anvendelse, da det er snakk om behandling av svært sensitive informasjon og direkte identifiserbare personopplysninger. Forskningsprosjektet er følgelig underlagt krav om konsesjon. Datatilsynet etterlyste imidlertid ytterligere opplysninger for å kunne vurdere spørsmål om samtykke og informasjonsplikt. Datatilsynet har satt saken i bero til det foreligger en uttalelse fra NESH, samtidig som saken ble knyttet opp mot de tre andre sakene nevnt over.

I redegjørelsen fra prosjektleder som fulgte med anmodningen om uttalelse fra Personvernombudet ved NSD (25.08.2016), argumenterte Bøylestad for at det kun er en liten mulighet for gjenkjennelse og at personvernulempen derfor er svært små. Videre ble det argumentert for unntak fra både samtykke og informasjonsplikt med henvisning til at det er både umulig (§ 20 b) og utilrådelig (§ 23 c). Samtidig blir det understreket av samfunnsnytten er stor.

NSD (25.08.2016) påpekte at Datatilsynet innvarsler «en ny praksis der det legges opp til et mer rutinemessig krav om uttalelse/godkjenning fra NESH». NSD «er redd for at en slik praksis vil skape forvirring med hensyn til kompetansen til blant annet Rådet for taushetsplikt og forskning». NSD ba derfor om en mer prinsipiell avklaring fra NESH:

Vi håper også at NESH vil gi en uttalelse av mer prinsipiell karakter slik at det ikke blir nødvendig for alle forskere som søker om innsyn i sensitive opplysninger å søke om uttalelse fra NESH i tillegg til godkjennelse fra Rådet for taushetsplikt og forskning, respektive forvaltningsorgan, personvernombud og Datatilsynet.

Behandlingsgrunnlag NESH

I vurderingen av prosjektet legger NESH til grunn Forskningsetiske retningslinjer for samfunnsvitenskap og humaniora (2016). På den ene siden handler det om hensyn til personvern, spesielt knyttet til spørsmål om samtykke og informasjonsplikt (Del B). På den andre siden handler det om grunnleggende forskningsetiske normer, spesielt knyttet til forskningens frihet (Del A) og forskeres ytringsfrihet (Del F). Satt på spissen: Kan håndhevingen av personvernet begrense forskernes frihet til å utforske spørsmål som har stor samfunnsrelevans? Her vil den forskningsetiske vurderingen variere fra sak til sak, avhengig av hvordan ulike aspekter og normer veies mot hverandre, og av forskningsdesign og metodiske tilnærminger.

Vurdering

Behandlingen av saken er komplisert fordi Datatilsynet (21.06.2016) oversendte den sammen med tre andre og liknende saker (Datatilsynet, 16/00018, 16/00431, 16/00732). Dette ble fulgt opp av NSD (25.08.2016), som også ber om en felles og prinsipiell vurdering. Ettersom Datatilsynet og NSD har ulik forståelse av de ulike sakene, og samtidig ber om en felles vurdering, blir det ekstra krevende for NESH å manøvrere mellom ulike lover og forskningsetiske hensyn i de fire sakene, samt å håndtere det mer overordnede spørsmålet om forholdet mellom Rådet for taushetsplikt og forskning, NSD, Datatilsynet og NESH med deres ulike mandater. Samtidig ser NESH at de ovenfor nevnte etater uttrykker et behov for mer overordnet forskningsetisk refleksjon.

Forskningsetikken er kasuistisk og tar utgangspunkt i vurderinger av spesifikke saker. For å imøtekomme henvendelsene fra Datatilsynet og NSD vil NESH derfor i denne uttalelsen komme med en spesifikk og en generell del: Først gis en vurdering av de forskningsetiske forholdene i denne saken, før de mer generelle vurderingene utledes i lys av behandlingen av denne og de tre andre sakene.

Vurdering av prosjektet «Etterforskning av uventede barnedødsfall» (2016/316)

• NESH legger til grunn at prosjektet har fått dispensasjon (jf. Rådet for taushetsplikt og forskning), at prosjektet utløser konsesjon (jf. Personvernombudet), og at personopplysningsforskriften § 7–27 ikke kommer til anvendelse (jf. Datatilsynet), jf. gjennomgangen av sakens bakgrunn ovenfor. NESH har ikke mandat til å vurdere rettsanvendelsen, og forutsetter derfor at forvaltningsorganenes rettsanvendelse er korrekt, jf. gjennomgangen av grunnlaget for behandlingen av saken ovenfor.
• NESH mener det ikke er gitt tilstrekkelig begrunnelse for å fravike kravet om samtykke og informasjonsplikt. Prosjektet innebærer innsamling og behandling av svært sensitive personopplysninger, og NESH mener det både er mulig og tilrådelig at det innhentes samtykke og gis informasjon.
• I prosjektvurderingen (PVO 44745) framgår det at det «antas å være omkring 300-400 saker», og det samme står i meldeskjema fra NSD, selv om det her etterspørres «antall personer som inngår i utvalget». Det er derfor uklart hvor mange personer det faktisk er snakk om totalt, men det er ikke gitt opplysninger som tilsier at det er umulig å innhente samtykke, jf. personopplysningsloven § 20.
• Hensynet til berørte enkeltpersoner er ikke tilstrekkelig ivaretatt gjennom forskerens konfidensialitet og avidentifiering ved publisering. Offentliggjøringen av resultatene og kunnskapen om prosjektet vil uansett være en belastning for de berørte, som fort vil overstige belastningen om å bli spurt om samtykke. NESH vurderer det slik at det for enkeltpersoner , gitt prosjektets tema og utvalg av saker, vil være enkelt å konkludere med at deres barns død er med i utvalget. Alternativt vil det kunne skape usikkerhet om hvorvidt dødsfallet til deres barn har blitt forsket på, eller ikke. Det handler ikke bare om avidentifisering, som muligens lar seg gjøre, men også om integritetskrenkelsen knyttet til at noen har forsket på materiale om deres avdøde barn uten at de er spurt om samtykke og involvert på andre måter. NESH mener derfor at det ikke foreligger tilstrekkelige argumenter for å fravike hovedregelen om samtykke og informasjonsplikt (retningslinje nr. 8).

Siden saken berører svært sensitive helseopplysninger og svært sensitive spørsmål mer generelt, bør prosjektet etablere kontakt med relevante ressursgrupper, for eksempel Foreningen «vi som har et barn for lite». Det bør vurderes om slike ressursgrupper bør være med i prosjektets referansegruppe. De nasjonale forskningsetiske komiteene har svært gode erfaringer med involvering av slike støttegrupper fra arbeidet med forskning på de berørte etter 22. juli.

• I disse vurderingene ligger det også at NESH, utfra oversendte dokumentasjon, ikke er overbevist om at samfunnsnytten av prosjektet er så stor at kravet om samtykke kan fravikes. For det første er det uklart hva slags type prosjekt det er snakk om. I prosjektskissen omtales prosjektet som en «evaluering», og formålet kan minne om en slags internrevisjon. En del av prosjektet kan karakteriseres som «forskning på egen virksomhet», og selv om studieobjektet er «objektive, målbare fakta», kan det stilles spørsmål om interessekonflikter og uavhengighet (retningslinje nr. 37). For det andre er det uklart hva som er den faglige tilnærmingen. Prosjektet vil, ifølge prosjektbeskrivelsen, plassere seg «i den forholdsvis sjeldne sjangeren empirisk rettsvitenskap», men det gis ingen nærmere beskrivelse eller teoretisk eller metodologisk begrunnelse for hva dette innebærer. Prosjektbeskrivelsen skisserer flere delmål, men mangler en analytisk problemstilling som gjerne er en forutsetning for forskningens ansvarlighet, vitenskapelig relevans, generalisering og overføringsverdi (retningslinje nr. 3).

Denne oppramsingen er ikke uttømmende, og det er heller ikke NESH sin oppgave å vurdere den vitenskapelige kvaliteten på prosjektet, men fordi kvaliteten er en forutsetning for den påståtte samfunnsnytten, mener NESH det ikke er gitt tilstrekkelig begrunnelse for at den forventede nytten er tilstrekkelig stor til at kravet om samtykke kan fravikes.

• NESH etterlyser også en grundigere refleksjon og redegjørelse om hvem som faktisk blir omfattet av forskningsprosjektet, eventuelt som tredjepart. Prosjektet skal ifølge prosjektskissen undersøke politietterforskningen og dødsstedsundersøkelsene ved dødsfall hos barn, og «prosjektet skal fokusere på det arbeidet som gjøres av disse instansene som sådan, ikke på enkelte ansatte.» NESH er ikke overbevist om at dette skillet lar seg opprettholde da arbeidet utføres av de enkelte ansatte. Videre inkluderer prosjektet en rekke andre yrkesgrupper som ambulansepersonell, barneavdeling, fastlege og rettsmedisinere, men det er ikke redegjort for hvordan disse eventuelt skal bes om samtykke eller få informasjon om prosjektet og dets hensikt og resultater. NESH vil derfor minne om hensynet til tredjepart: «Forskeren bør vurdere og foregripe virkninger på tredjepart som ikke er direkte inkludert i forskningen.» (retningslinje nr. 13).

Generelle betraktninger

I forlengelse av den spesifikke saken, har NESH også noen generelle merknader basert på en samlet vurdering av de fire forskjellige sakene. Den prinsipielle formuleringen av de generelle vurderingene er ikke oppsummert som et prinsipp eller en regel til anvendelse i behandlingen av liknende saker, men snarere som råd og retningslinjer for selve prosessen og for en tydeligere arbeidsdeling mellom de ulike instansene. Vurderingene omhandler altså ikke bare idealer, men også samarbeidet mellom institusjoner.

• NESH mener det ikke er nødvendig at alle forskere som søker om innsyn i sensitive opplysninger må innhente en forskningsetisk uttalelse fra NESH. NESH oppfatter ikke henvendelsen fra Datatilsynet som at de legger opp til en ny praksis.
• NESH presiserer at avveiingen mellom personvern og samfunnsnytten (i juridisk forstand) primært er relevant for vurdering av kravet om samtykke ved behandling av personopplysninger (jf. § § 8, 9). Unntakene fra informasjonsplikt er kun knyttet til om varsling er umulig (§ 20) eller utilrådelig (§ 23 c, f). Derfor er det generelle spørsmålet i henvendelsen fra Datatilsynet og NSD noe misvisende, spesielt i de sakene hvor det allerede er gitt fritak fra samtykke.
• NESH mener det er svært uheldig at andre instanser begir seg inn på forskningsetiske vurderinger når de ikke har, eller forventes å ha, den nødvendige kompetansen verken om forskning eller om etikk. NESH mener derfor det er behov for å presisere både arbeidsområdet og ansvarsfordelingen mellom ulike instanser når det gjelder forskningsetisk vurdering av forskningsprosjekter.

a) Oppgaven til Rådet for taushetsplikt og forskning framgår av forvaltningsloven § 13 d og forvaltningsforskriften § 9, og den begrenser seg til vurdering av det rettslige grunnlaget for dispensasjon fra taushetsplikt. NESH har erfart at forskere tror at en dispensasjon fra taushetsplikt gitt av Rådet samtidig innebærer godkjenning for behandling av personopplysninger. Rådet bør derfor presisere at samtykke til å behandle opplysninger undergitt taushetsplikt ikke innebærer noen forskningsetisk vurdering av prosjektet. Etter NESHs vurdering er formuleringen i vedtaket i denne saken (2015/32) både tydelig og informativt: «Rådet legger til grunn at forholdet til personopplysningslovens melde- og konsesjonsplikt vil bli ivaretatt gjennom melding til NSD […]».

b) Oppgaven til Personvernombudet framgår av personopplysningsforskriften § 7–27. I merknader til § 7–27 står det følgende om tilråding: «Samtidig krever det at personvernombudet har kjennskap til forskningsetikk og på eget initiativ forelegger prosjekter som oppfattes som forskningsetisk tvilsomme for en komité. Personvernombudene skal også forelegge saker det finner problematisk å tilrå for Datatilsynet». Personvernombudet skal altså «ha kjennskap» til forskningsetikk, men forventes ikke å ha ekspertise verken på forskning eller etikk. De skal derimot på eget initiativ oversende saker som er problematiske eller som reiser prinsipielle spørsmål til NESH for en mer omfattende forskningsetisk uttalelse. Det bør fortrinnsvis skje før saken oversendes til Datatilsynet. I de fire oversendte sakene som er utgangspunktet for denne generelle vurderingen, kunne NESH med fordel vært koplet inn tidligere.

Konklusjon

I saken «Etterforskning av uventede barnedødsfall» (2016/316) mener NESH at det ikke er tilstrekkelig begrunnet eller sannsynliggjort hvorfor det er forskningsetisk forsvarlig å fravike kravet om samtykke og informasjonsplikt. Prosjektleder bør i samråd med Personvernombudet drøfte nærmere hvordan prosjektet kan utformes på en måte som er forskningsetisk forsvarlig.

NESH presiserer også viktigheten av at de ulike involverte instansene er tydelige på arbeidsdeling og ansvarsforhold Personvernombudet bør oversende saker som er problematiske eller som reiser prinsipielle spørsmål, til NESH for en mer omfattende forskningsetisk uttalelse før saken går videre til Datatilsynet. På den måten unngår vi unødvendig byråkrati og fjerner uklarheter og misforståelser både om saksgang og forskningsetikkens betydning i prosessen.

Uttalelsen fra NESH er kun rådgivende, og NESH understreker at både forskere og forskningsinstitusjoner har et selvstendig ansvar for å sikre at forskningen de utfører er god og etisk forsvarlig.