Høringsuttalelse – utkast til ny personopplysningslov – gjennomføring av personvernforordningen i norsk rett
| Fra: | Statens helsetilsyn |
|---|---|
| Til: | Justis- og beredskapsdepartementet |
| Dato: | 16.10.2017 |
| Vår ref.: | 2017/1622 3 PBØ |
Statens helsetilsyn viser til høringsinnbydelse 6. juli 2017 med høringsfrist 16. oktober. Vi har enkelte generelle kommentarer og noen konkrete spørsmål og innspill.
«Departementet foreslår at forordningen gjennomføres i norsk rett ved inkorporasjon, det vil si at forordningen gjøres gjeldende som norsk rett gjennom en henvisnings- bestemmelse i den nye personopplysningsloven. Videre foreslår departementet lovbestemmelser som utfyller bestemmelsene i forordningen».
Forordningens regeloppbygning, struktur og logikk er, som beskrevet i høringsnotatet, en annen enn det som vi er vant med. Det fremstår som krevende å sette seg inn i reguleringen. Også gjeldende personvernlovgivning er komplisert og kan være vanskelig tilgjengelig når personopplysningsloven skal sammenholdes med særlovgivningen. Det er følgelig utfordrende å vurdere om det er bestemmelser i særlovgivningen som må anses som unntak eller særreguleringer som forordningen ikke åpner for å videreføre.
Den nye personvernloven innebærer økt kompleksitet og økte krav til kompetanse og kunnskap.
Helsetilsynet antar blant annet at personvernrådgivere vil ha behov for opplæring og dialog med Datatilsynet når det gjelder rolle, funksjon og håndtering av lojalitetsutfordringer som kan oppstå i egen virksomhet både ved gjennomføring av kontroll og ved spørsmål om tilrådning for behandling av opplysninger.
I høringsnotatets kapittel 36 Tilpasninger i særlovgivningen som følge av forordningen opplyses at gjennomføring av personvernforordningen gjør det nødvendig med en rekke tilpasninger av særlovgivningens bestemmelser om behandling av personopplysninger.
Samtidig fremgår det både i dette kapitlet og ellers i høringsnotatet at forordningen på mange punkter viderefører gjeldende rett, grunnleggende regler og prinsipper for behandling, slik at mange bestemmelser i særlovginingen kan videreføres uendret, som for eksempel regler som gir lovgrunnlag for behandling av personopplysninger på et bestemt område.
Helsetilsynet er enige i disse beskrivelsene, men vi er noe usikre på hvordan det ene eksemplet med omtale av helseforskningsloven § 33 første ledd annet punktum skal forstås og konsekvensene av dette.
Det fremgår på side 124 annet selvstendige avsnitt i høringsnotatet at «så langt konsesjonsordningen ikke videreføres med forordningen, kan disse unntaksbestemmelsene oppheves. Dette gjelder også bestemmelsen i helseforskningsloven § 33 første ledd annet punktum om at forhåndsgodkjenning fra den regionale komiteen for medisinsk og helsefaglig forskningsetikk trer i stedet for konsesjon etter personopplysningsloven.»
I utgangspunktet forstår Helsetilsynet helseforskningslovens § 33 første ledd annet punktum slik at godkjenning fra den regionale komiteen for medisinsk og helsefaglig forskningsetikk (REK) vil være det nødvendige og tilstrekkelige behandlingsgrunnlaget for helseopplysninger i medisinsk og helsefaglig forskning. Og at det etter gjeldende rett ikke er behov for konsesjon fra Datatilsynet.
For Statens helsetilsyn er det uklart hvilken betydning opphevelsen av denne setningen i helseforskningsloven § 33 vil ha. Er det en rent lovteknisk opphevelse ved at man tar bort en henvisning til en konsesjonsordning som vil opphøre? Eller vil realiteten være en rettstilstand slik den var før helseforskningsloven trådte i kraft ved at REK kun skal gi en forskningsetisk vurdering av prosjektene, jf. helseforskningsloven § 9? Og er det de nye personvernrådgiverne som skal vurdere personvernet og eventuelt tilrå behandlingen etter lovutkastet § 6?
Helsetilsynet antar at godkjenning av selve forskningsprosjektet etter helseforskningsloven § 9 ikke vil kunne utgjøre et eget lovgrunnlag for behandling av sensitive opplysninger, jf. utkast til personopplysningslov § 6 første ledd. Etter vår vurdering er det behov for en nærmere omtale av hvordan en slik opphevelse av § 33 første ledd annet punktum skal forstås og hvilken betydning dette vil ha for forskning på helseopplysninger.
Etter vår vurdering legger forordningen et betydelig ansvar på virksomhetene og personvernrådgiverne for å sikre personvernet, samtidig vil usikkerhet knyttet til ivaretakelse av dette ansvaret kunne hindre viktig medisinsk og helsefaglig forskning.
Videre forstår vi det slik at Datatilsynets kompetanse til å gi konsesjon for etablering av helseregistre og annen behandling av helseopplysninger etter helseregisterloven § 7 vil opphøre, og at etablering av helseregistre også kan skje innenfor rammen av forordningen og lovutkastet § 6.
Slik Helsetilsynet forstår konsekvensene av forslaget om opphevelse av plikten til å innhente forhåndsgodkjennelse for behandling av helseopplysninger ved helseforskning, støtter vi følgelig forslagene i siste avsnitt under høringsnotatets 15.3.2.1.
Dette gjelder både forslaget om innføring av en forskriftshjemmel som kan benyttes til å gjeninnføre konsesjonsplikt dersom det skulle vise seg at dette skulle være nødvendig for å sikre et tilstrekkelig personvern, se lovutkastet § 11 og muligheten for innføring av konsesjonsplikt i særlovgivningen eksemplifisert med helseforskning i høringsnotatet.
Med hilsen
Jo Kittelsen
fung. direktør
Pål Børresen
seniorrådgiver
Brevet er godkjent elektronisk og sendes derfor uten underskrift
Saksbehandler: Pål Børresen, tlf. 21 52 99 67