Tilkynningakerfi í stað leyfisveitinga

Fyrir þremur árum breyttist umhverfi íslenskra vísindarannsókna töluvert þegar ný lög um persónuupplýsingar og persónuvernd tóku gildi. Þann 1. janúar 2001 breyttist Tölvunefnd í Persónuvernd og um leið urðu talsverðar breytingar á vinnubrögðum stofnunarinnar. Nú er komin nokkur reynsla á starfsemi stofnunarinnar og því þótti Læknablaðinu ekki úr vegi að leita til Sigrúnar Jóhannsdóttur forstjóra og athuga hvernig hin breyttu vinnubrögð hefðu reynst.

Á heimasíðu Persónuverndar segir: "Í tíð Tölvunefndar byggðist eftirlit með meðferð persónuupplýsinga einkum á leyfisveitingum. Var fjölþætt skráning persónuupplýsinga háð leyfum frá Tölvunefnd og voru leyfi sem hún gaf út bundin þeim skilmálum sem hún mat nauðsynlega hverju sinni. Starf Persónuverndar byggist á öðrum áherslum en voru í starfi Tölvunefndar. Í stað þess að veita leyfi eins og Tölvunefnd gerði veitir Persónuvernd fyrst og fremst leiðbeiningar, setur almennar reglur og hefur eftirlit með því að þeim sé fylgt."

En hvernig skyldi íslenska vísindasamfélaginu hafa gengið að laga sig að þeim breyttu reglum sem tóku gildi um leið og Tölvunefnd breyttist í Persónuvernd?

"Það hefur að mestu gengið ágætlega. Þó er ljóst að oft eru menn í vafa um hvort þau verkefni sem þeir eru að vinna séu háð leyfi frá Persónuvernd eða hvort nægi að senda henni tilkynningu. Ein meginbreytingin sem átti sér stað við gildistöku nýju laganna var sú að stórlega var dregið úr leyfisveitingum, þar á meðal vegna vísindarannsókna. Þess í stað var tekið upp tilkynningakerfi. Það þýðir að sá sem vinnur slíka rannsókn þarf í mörgum tilvikum aðeins að tilkynna Persónuvernd um vinnslu á persónuupplýsingum í tengslum við gerð rannsóknarinnar.

Tilkynninguna þarf að senda áður en vinnslan hefst. Henni má til dæmis koma á framfæri á þar til gerðu eyðublaði sem er að finna á heimasíðu Persónuverndar en þar er líka að finna eina skrá yfir allar tilkynningar sem borist hafa til Persónuverndar.

Sá sem tilkynnir má byrja vinnslu um leið og honum berst staðfesting frá Persónuvernd á móttöku tilkynningarinnar. Honum er þó ávallt heimilt að byrja vinnslu þegar liðnir eru 10 dagar frá því að hann sendi tilkynninguna. Persónuvernd getur samt hvenær sem er stöðvað vinnslu sem hún telur vera ólögmæta eða sett skilmála fyrir því að henni megi halda áfram.

Engu að síður þarf stundum að sækja um leyfi til Persónuverndar. Það getur verið vegna fyrirmæla í lögum, svo sem í lögum um réttindi sjúklinga eða vegna almennra reglna. Reynslan hefur hins vegar því miður sýnt að þessar reglur geta reynst ruglingslegar.

Til að skýra þær sem best fyrir lesendum tók ég saman stutt yfirlit sem birtist hér í opnunni. Það kann að gefa of einfalda mynd, en vonandi kemur það ekki að sök þar sem markmið þess er jú aðeins að draga fram meginreglurnar. Mikilvægt er að hafa í huga að þetta yfirlit á aðeins við um vísindarannsóknir en ekki venjulegar gæðarannsóknir sem fara fram á flestum heilbrigðisstofnunum. Vissulega getur oft vafist fyrir mönnum hvort rannsókn sé gæðarannsókn eða vísindarannsókn, en mér er kunnugt um að nú er unnið að því, meðal annars á Landspítala, að reyna að draga skýrari línur hér á milli."

- Er eitthvað annað sem þér þykir ríkja óvissa um meðal lækna og annarra sem stunda vísindarannsóknir?

"Já, ég verð oft vör við að læknar eru í vafa um það hvenær afla þarf samþykkis hinna skráðu, það er þeirra sem taka þátt í rannsókn. Í raun er svarið við þessu að finna í lögum um réttindi sjúklinga, en þau kveða á um að alltaf þarf að fá samþykki manna fyrir þátttöku í framsýnum vísindarannsóknum. Um það hvort menn þurfi hins vegar að samþykkja vinnslu persónuupplýsinga í tengslum við framkvæmd viðkomandi rannsóknar fer hins vegar eftir öðrum reglum sem erfitt er að skýra í stuttu viðtali.

Þegar útilokað er að rekja rannsóknargögn til þátttakenda þarf hvorki að fá leyfi frá Persónuvernd né að senda henni tilkynningu. Hafi hins vegar verið notuð viðkvæm gögn við leit að þátttakendum, svo sem listar yfir fólk með tiltekna sjúkdóma, getur þurft að senda Persónuvernd tilkynningu um það.

- Eru þessar reglur byggðar á erlendri fyrirmynd?

"Já. Með nýju lögunum var komið á samræmi milli okkar reglna og evrópskra reglna um meðferð persónuupplýsinga. Með lögunum var innleidd tilskipun Evrópusambandsins 95/46/ESB um vernd einstaklinga í tengslum við vinnslu persónuupplýsinga og um frjálst flæði slíkra upplýsinga um meðferð. Öll ríki sambandsins fylgja ákvæðum þessarar tilskipunar og þar sem ákveðið var að fella tilskipunina undir EES-samninginn fylgja Ísland og Noregur henni líka. Með öðrum orðum þá gilda að mestu sömu reglur í allri Evrópu þótt nokkurt svigrúm sé um einstök atriði, meðal annars um það að hvaða marki vísindarannsóknir eru háðar leyfisveitingum, það er að hvaða marki þær lúta því sem tilskipunin kallar "prior checking".

Að lokum bendi ég á að nánari upplýsingar, þar á meðal lög og reglur, er að finna á heimasíðu Persónuverndar www.personuvernd.is

Afla þarf leyfis fyrir vinnslu persónuupplýsinga sem á sér stað vegna vísindarannsóknar þegar:

1. safnað er upplýsingum úr sjúkraskrám

2. aflað lífsýna úr lífsýnasöfnum

3. skrár eru samkeyrðar, það er ef ein (önnur) skráin er með viðkvæmum persónuupplýsingum

4. um er að ræða erfðarannsókn, það er rannsókn þar sem unnið er með DNA fólks

5. notaðar eru upplýsingar um refsiverða háttsemi og sakaferil, um lyfja-, áfengis- og vímuefnanotkun eða um kynlíf og kynhegðan nema öll notkunin hafi verið samþykkt af hlutaðeigandi einstaklingum

6. notaðar eru upplýsingar um félagsleg vandamál eða önnur sambærileg einkalífsatriði nema öll notkunin hafi verið samþykkt af hlutaðeigandi einstaklingum

7. flytja þarf lífsýni úr landi

8. flytja þarf viðkvæmar persónuupplýsinga til lands sem ekki er aðili að Evrópska efnahagssvæðinu nema flutningurinn hafi verið samþykktur af hlutaðeigandi einstaklingum

Tilkynna þarf vinnslu persónuupplýsinga vegna vísindarannsóknar þegar ekki þarf leyfi samkvæmt því sem að framan segir.