Ákvörðun um leyfissynjun og um samþykki til áætlunar arfgerða
Ákvörðun
Hinn 28. maí 2013 tók stjórn Persónuverndar svohljóðandi ákvörðun í máli nr. 2012/1404:
I.
Umsókn
1.
Hinn 27. nóvember 2012 barst Persónuvernd umsókn, dags. s.d., frá Íslenskri erfðagreiningu ehf. (ÍE), A, Landspítalanum, B, og C, D, E og F. Í umsókninni er óskað eftir leyfi Persónuverndar til vinnslu persónuupplýsinga í þágu verkefnisins „Undirbúningur að notkun raðgreiningarupplýsinga í einstaklingsmiðaðri heilbrigðisþjónustu Landspítala-háskólasjúkrahúss“. Samkvæmt umsókninni er fyrirhugað að miðla upplýsingum um alla þá sem fengið hafa þjónustu hjá Landspítalanum síðastliðin fimm ár og samkeyra þær við upplýsingar ÍE, þ. á m. arfgerðarupplýsingar. Með þessu er ráðgert að kanna áhrif notkunar upplýsinga um arfgerð, sem orðið hafa til með svonefndri raðgreiningu, í heilbrigðisþjónustu. Til dæmis megi komast að því hversu margir, sem þarfnast lyfjagjafar við tilteknum einkennum, eru með erfðabreytileika sem kallar á sérstaka skammtastærð, eins og fram kemur í viðauka með umsókninni. Fyrirhugað er að rannsóknin standi yfir í fimm til tíu ár og að upplýsingar verði varðveittar þann tíma og sjö ár til viðbótar hjá ÍE, en síðan verði þeim eytt. Ekki er ráðgert að afla samþykkis viðkomandi einstaklinga.
Í umsókn kemur fram að ekki aðeins þeir 95.085 einstaklingar, sem tekið hafa þátt í rannsóknum á vegum ÍE, hafi verið arfgerðargreindir heldur hafi einnig verið áætlaðar arfgerðir 280.000 náinna skyldmenna þeirra. Um þetta segir nánar:
„Þekking á erfðafræði sjúkdóma er í auknum mæli nýtt til einstaklingsmiðaðrar heilbrigðisþjónustu um allan heim. Með tilkomu nýrrar tækni við raðgreiningu á erfðamengi einstaklings fyrir sambærilegan kostnað og við aðrar rannsóknir í heilbrigðisþjónustu, hafa heilbrigðisstofnanir víða um heim þegar hafið innleiðingu erfðamengis-raðgreiningar til að undirbúa notkun tækninnar til greiningar og meðferðar á sjúkdómum. Mörgum spurningum er ósvarað varðandi notkunarsvið raðgreiningargagna, notagildi, hagkvæmni, tæknilega útfærslu, aðgengi og siðferðileg álitamál. Undirbúningsrannsóknir á notkun slíkra gagna, áður en þau eru innleidd í almennri heilbrigðisþjónustu, eru því afar mikilvægar. Í slíkum rannsóknum verða til notkunartilvik (use cases) sem hægt er að nýta til að undirbúa raunverulega framkvæmd.
Vegna rannsókna sinna hefur Íslensk erfðagreining (ÍE) raðgreint erfðamengi 2.234 Íslendinga af mikilli dýpt (>10-falt, meðaltal 17-falt). Einnig liggja fyrir í arfgerðargrunni ÍE afleidd (e. imputed) heildstæð raðgreiningargögn fyrir 95.085 Íslendinga, sem hafa verið arfgerðargreindir með örflögutækni. Tilvist þessara líkindaraðgreiningargagna, sem eru 99% áreiðanleg miðað við raunraðgreiningu, gerir LSH og ÍE kleift að skilgreina möguleg notkunarsvið raðgreiningargagna í einstaklingsmiðaðri heilbrigðisþjónustu á hagkvæman (afturvirkan), ábyrgan og öruggan hátt. Til viðbótar liggja fyrir raðgreiningargögn að hluta fyrir 280.000 náin skyldmenni þeirra Íslendinga sem eru örflögugreindir. Ólíkt erlendum heilbrigðisstofnunum, sem þurfa að leita þátttöku fjölda sjúklinga og raðgreina með miklum tilkostnaði og tilheyrandi væntingum þátttakenda, þá er með gögnum ÍE hægt að byrja á að kanna og skilgreina notagildi fyrirliggjandi erfða- og heilbrigðisupplýsinga á LSH, án beinnar þátttöku sjúklinga með framangreind markmið um undirbúning einstaklingsmiðaðrar heilbrigðisþjónustu í huga.“
Um framkvæmd verkefnisins segir m.a.:
„Í samvinnu sérfræðinga LSH og ÍE verða gerðar lýsandi rannsóknir og tölfræðileg rýni á skörun dulkóðaðra raðgreiningargagna ÍE og dulkóðaðra, staðlaðra heilbrigðisgagna síðastliðinna 5 ára úr hópskrám LSH (utan persónulegra sjúkraskráa). Á grundvelli niðurstaðna verða skilgreindar rannsóknarspurningar sem leita svara við hvernig hagkvæmast og árangursríkast sé að hefja innleiðingu raðgreiningarupplýsinga í heilbrigðisþjónustu LSH.
Jafnframt verður notkun raðgreiningargagna í heilbrigðisþjónustu undirbúin með því að hanna vinnuferla og upplýsingatæknilausnir til að gera skilgreindar erfðaupplýsingar einstaklinga aðgengilegar í sjúkraskrárkerfum LSH. Við undirbúning á notkun erfðaupplýsinga verður litið til lyfjasvörunar, og notkunar erfðaupplýsinga til að ákvarða lyfjaskammta (s.s. á blóðþynningarlyfinu Warfarin), til að hámarka gagnsemi og draga úr líkum á aukaverkunum) en slíkar upplýsingar eru þegar nýttar á nokkrum stöðum í heiminum og byggja á klínískum leiðbeiningum. Einnig verður litið til notkunar raðgreiningargagna þar sem þekktir erfðabreytileikar auka verulega hættu á algengum alvarlegum sjúkdómum s.s. hjartaáföllum, gáttatifi, sykursýki af gerð 2, svo og blöðruhálskirtilskrabbameini, brjóstakrabbameini og öðrum krabbameinum og í sjúkdómum sem ÍE hefur fundið að sjaldgæfir erfðabreytileikar margfalda áhættu (áhættustuðull >3 (e. odds ratio)), eins og þvagsýrugigt, alvarlegum hjartsláttartruflunum (sick sinus syndrome), húðkrabbameini, eða vernda gegn, eins og Alzheimerssjúkdómi og ellihrörnun. Ljóst er að ávinningurinn fyrir sjúklinga og heilbrigðiskerfið er mikill þegar um slíka margföldun í áhættu er að ræða.“
Um hvaða persónuupplýsingar unnið verði með segir:
„Unnið verður með fjögur söfn gagna:
1. Upplýsingar um sjúkdómsgreiningar (t.d. ICD og DSM greiningarkóða), aðgerðar- og meðferðarkóða, lyfjaávísanir, mælingar, prófanir og kostnaðarflokka (DRG), auk viðeigandi dagsetninga, sem haldnar eru hópskrár um á LSH (utan persónulegra sjúkraskráa). Þessum gögnum verður safnað saman úr klínísku vöruhúsi gagna og öðrum gagnagrunnum LSH í rannsóknagagnagrunn verkefnisins, undir nöfnum og kennitölum þeirra sem fengið hafa þjónustu spítalans á sl. 5 árum.
2. Mældar og afleiddar raðgreiningar- og arfgerðarupplýsingar sem hafa orðið til vegna rannsóknaverkefna ÍE og samstarfsaðila og eru varðveittar hjá ÍE undir dulkóðuðum kennitölum (PN).
3. Niðurstöður mælinga, spurningakannanna og viðtala sem eru varðveitt hjá ÍE undir dulkóðuðum kennitölum (PN) og safnað var fyrir erfðarannsóknir á viðkomandi sjúkdómum/svipgerðum og eru varðveittar hjá ÍE undir dulkóðuðum kennitölum (PN).
4. Upplýsingar í ættfræðigrunni ÍE undir dulkóðuðum kennitölum (PN).“
Fram kemur að þegar starfsmenn Landspítala hafi tekið út og safnað saman fyrrgreindum upplýsingum úr skrám spítalans verði þær sendar til Þjónustumiðstöðvar rannsóknaverkefna (ÞR) og þaðan til ÍE eftir að kennitölur hafi verið dulkóðaðar. Um það segir nánar:
„Fyrir sendingu gagna LSH til ÍE mun dulkóðunarstjóri Þjónustumiðstöðvar rannsóknaverkefna (ÞR) sannreyna kennitölur en síðan fjarlægja öll önnur bein persónuauðkenni fyrir sendingu gagnanna um IPS (Identity Protection System) dulkóðunarkerfið, en við það munu kennitölur dulkóðast yfir í áðurnefnd PN. Þannig verður unnið með öll gögn án beinna persónuauðkenna hjá ÍE og trúnaður við sjúklinga því tryggður.
Þegar móttaka gagna hjá ÍE hefur verið staðfest mun dulkóðunarstjóri ÞR skila LSH kennitöluhreinsuðum frumskrám til varðveislu á meðan á rannsókninni stendur. Þeim verður síðan eytt 7 árum frá lokum rannsóknar, að því undanskildu að framhaldsrannsókn eða ný rannsókn á sömu gögnum hafi verið heimiluð af Vísindasiðanefnd. Sama gildir um rannsóknargögn hjá ÍE.“
Einnig kemur fram að umræddar upplýsingar myndi sérstakan rannsóknargagnagrunn sem starfsmenn ÍE nýti til að hanna rannsóknarspurningar, samkeyra upplýsingar frá Landspítala við erfðafræðigögn og vinna tölfræðilegar niðurstöður. Þá segir að fyrrnefndir umsækjendur frá Landspítala, auk annarra tilnefndra sérfræðinga spítalans, muni taka þátt í hönnun rannsóknarspurninganna og mati á niðurstöðum úrvinnslu ÍE m.t.t. klínísks notagildis, læknisfræðilegs mikilvægis, kostnaðarþátta og praktískrar notkunar erfðaupplýsinga í klínísku starfi á spítalanum.
Eins og fyrr segir er ekki ráðgert að afla samþykkis viðkomandi einstaklinga í þágu rannsóknarinnar. Um það segir nánar:
„Ekki verður aflað upplýsts samþykkis vegna þessarar rannsóknar þar sem um erfðafaraldsfræðilega rannsókn er að ræða og einungis verður unnið með fyrirliggjandi gögn á kennitölum í hópskrám og gagnagrunnum LSH og á dulkóðuðum kennitölum án beinna persónuauðkenna innan ÍE.
Ekki verður safnað sérstökum lífsýnum né framkvæmd sérstök arfgerðargreining á fyrirliggjandi lífsýnum vegna þessarar rannsóknar heldur stuðst við fyrirliggjandi mældar arfgerðir þeirra sem hafa skrifað undir víðtækt samþykki (B) og afleiddar (e. imputed) arfgerðir þeirra sem undirritað hafa þrengra samþykki (A) eða hafa aldrei tekið þátt í rannsóknum hjá ÍE en hægt er á grundvelli ættfræðiupplýsinga í ættfræðigrunni ÍE og fyrirliggjandi arfgerðum annarra þátttakenda að leiða líkur að arfgerðum þeirra með tölfræðilegum líkindareikningi (imputation). Fyrir þessa einstaklinga er í raun um erfðafaraldsfræðilega rannsókn að ræða og líkt og í öðrum faraldsfræðilegum rannsóknum, þar sem mælingar og gögn liggja fyrir, ekki þörf að leita samþykkis, enda líkt og fyrir rannsóknina í heild sinni, fara allar samkeyrslur fram undir dulkóðuðum kennitölum.
Þannig er annars vegar er um að ræða rannsóknagagnagrunn með gögnum úr hópskrám LSH yfir greiningar, rannsóknir, meðferð, lyfjaávísanir, prófanir, mælingar og kostnaðarupplýsingar fyrir þá sem fengið hafa þjónustu á stofnuninni síðastliðin 5 ár og hins vegar mældar og afleiddar (e. imputed) arfgerðir og ættfræði- og svipgerðarupplýsingar sömu einstaklinga samkvæmt gögnum ÍE.“
2.
Með bréfi til ÍE og Landspítala, dags. 6. febrúar 2013, vísaði Persónuvernd til bréfaskipta stofnunarinnar og ÍE varðandi áætlun arfgerða sem átt höfðu sér stað árið 2011. Nánar tiltekið hafði Persónuvernd borist bréf frá ÍE, dags. 30. maí 2011, ítrekað með tölvubréfi hinn 7. september s.á., þar sem fram kom að fyrirhugað væri að áætla arfgerðir í þágu rannsóknarinnar „Leit að erfðaþáttum sem stuðla að frávikum ýmissa blóðgilda“ (sbr. m.a. leyfi Persónuverndar til vinnslu persónuupplýsinga, dags. 13. október 2008 (mál nr. 450/2008)). Taldi Persónuvernd mega ráða af erindi ÍE að þetta líkindamat gæti náð til einstaklinga sem ekki hefðu samþykkt þátttöku í rannsókn á vegum fyrirtækisins. Var þess óskað að það rökstyddi á grundvelli hvaða heimilda sú vinnsla persónuupplýsinga, sem fælist í umræddu líkindamati, gæti þá farið fram. Barst í kjölfar þess svar frá ÍE, dags. 20. september 2011, þar sem segir að ekki séu búnar til neinar nýjar upplýsingar um þá sem ekki hafa samþykkt þátttöku í rannsóknum heldur verði aðeins reiknaðar út líkur þess að hópar einstaklinga, sem uppfylla ákveðin skilyrði, séu með ákveðna arfgerð. Hefur Persónuvernd byggt á þessum svörum í framkvæmd sinni eins og fram kemur í bréfi stofnunarinnar til ÍE, dags. 27. september 2011.
Í framangreindu bréfi Persónuverndar til ÍE og Landspítala, dags. 6. febrúar 2013, er vísað til þess að umrætt erindi ÍE, dags. 27. nóvember 2012, megi hins vegar skilja svo að búnar hafi verið til líkindaarfgerðir sem séu afmarkaðar við tiltekna einstaklinga sem ekki hafa tekið þátt í rannsóknum á vegum ÍE. Þess var óskað að veittar væru skriflegar skýringar á þessu atriði. Þá var þess óskað að fulltrúar ÍE og Landspítala kæmu á fund stjórnar Persónuverndar hinn 4. mars 2013. Á þeim fundi var bæði fjallað um umræddar líkindaarfgerðir, sem og önnur atriði. Af hálfu ÍE var verkefninu þar lýst sem faraldsfræðilegri rannsókn. Um væri að ræða tiltölulega miklar upplýsingar, en hættan á að öryggi þeirri skertist væri lítil. Misjafnt væri hversu nákvæmar líkindaarfgerðir væru og hefðu þær lítið gildi þegar kæmi að einstaklingum. Ekki væri hægt að nota þær til að ákveða hvernig heilbrigðisþjónusta væri veitt. Þá væri ekki um að ræða miðlægan gagnagrunn eða það að búnar væru til nýjar upplýsingar um einstaklinga. Tilgangurinn væri sá að spá fyrir um eðli hópsins og líkur á því að hópurinn brygðist við á tiltekinn hátt. Af hálfu Landspítala kom fram að fyrir honum vekti helst að finna öflugan samstarfsaðila, en nú væri hann kominn í þá stöðu að hafa yfir að ráða skipulögðum og öruggum upplýsingum sem nýta mætti til að taka næsta skref, þ.e. nota upplýsingar ÍE í sínu starfi.
Með bréfi, dags. 27. mars 2013, ítrekaði Persónuvernd framangreinda ósk sína um skriflegar skýringar og bárust þær með bréfi ÍE, dags. 22. apríl s.á. Þar segir m.a.:
„Hið rétta er að spáð er fyrir um líkindi mismunandi stórs hluta arfgerða á víð og dreif í erfðamenginu fyrir einstaklinga sem ekki hafa tekið þátt í rannsóknum ÍE og verið arfgerðargreindir. Upplýsingar um einstaklingana eru bæði óvissar og brotakenndar. Með því að sameina spár um líkindaarfgerðir fyrir alla í þýðinu eða í stóru úrtaki má fá góða spá fyrir stærstan hluta arfgerða í öllu erfðamenginu fyrir þýðið eða úrtakið í heild. Hér er um að ræða klassíska faraldsfræðirannsókn.“
Einnig segir í bréfinu að um tvenns konar áætlun arfgerða sé að ræða í rannsóknum ÍE, þ.e. (a) „aukna upplausn arfgerðarupplýsinga með afleiðingu þéttra raðgreiningarupplýsinga úr raðgreiningu yfir í skylda einstaklinga sem hafa verið arfgerðargreindir með örflögutækni og hafa gisnari arfgerðarupplýsingar“ og (b) „spá um líkindaarfgerðir út frá skyldleika til að meta tíðni og dreifingu erfðabreytileika í hópum“. Fram kemur kemur að fyrri tegundin af áætlun arfgerða tekur aðeins til þeirra sem samþykkt hafa þátttöku í rannsóknum á vegum ÍE en síðari tegundin til annarra einstaklinga.
Hvað áætlun arfgerða þeirra sem tekið hafa þátt í rannsóknum segir m.a. að nýttur sé svonefndur IMPUTE-hugbúnaður, en með honum séu upplýsingar um ákveðna einstaklinga, sem fengist hafi með raðgreiningu, þéttar yfir í einstaklinga sem hafa verið arfgerðargreindir með örflögutækni. Þar sem mjög stór hluti þjóðarinnar hafi verið örflögugreindur náist mjög mikil nákvæmni yfir allt erfðamengið með notkun umrædds hugbúnaðar, eða allt að 99% áreiðanleiki.
Hvað áætlun arfgerða þeirra sem ekki hafa samþykkt þátttöku í rannsóknum segir að byggt sé á stærðfræðilíkani sem noti skyldleika og líkindareikning til að áætla arfgerðir þeirra sem ekki séu örflögugreindir út frá gögnum náinna ættingja sem hafa verið greindir með slíkum hætti. Um sé að ræða klassíska, faraldsfræðilega aðferð sem hafi litla nákvæmni varðandi arfgerðir einstaklinga en þó nokkra nákvæmni um tíðni og dreifingu erfðabreytileika innan stórra hópa. Spáin byggi á hermun á raunverulegum, mældum arfgerðum til að spá fyrir um hluta arfgerðarupplýsinga þeirra sem engar arfgerðarupplýsingar liggja fyrir um og sé um að ræða mismunandi hluta erfðamengisins eftir einstaklingum. Nákvæmni spár um arfgerðir sé mjög breytileg milli erfðabreytileika og einstaklinga, en m.a. sé hún háð algengi breytileika og aldri og fjölda ættingja sem hafa verið arfgerðargreindir. Upplýsingar fyrir hvern einstakling séu því bæði brotakenndar og óvissar. Spáin lúti að líklegum arfgerðum allra í þýðinu til að áætla tíðni þeirra og dreifingu í stóru úrtaki og þýðinu í heild. Með þeim hætti sé unnt að fá gagnlegt mat á tíðni og dreifingu erfðabreytileika með nokkurri vissu fyrir alla þjóðina eða stórt úrtak, en þannig megi auka tölfræðilegt afl við samanburð á hópum í erfðafaraldsfræðilegum rannsóknum.
Að auki segir í bréfi ÍE:
„Af ofansögðu má vera ljóst að spá um líkindaarfgerðir sem byggir á hermun er ónákvæm fyrir einstaklinga, og er breytilegt milli einstaklinga til hvaða hluta erfðamengisins spáin nær. Því stærra sem þýðið eða úrtakið er því öruggari er spáin fyrir tíðni erfðabreytileika og dreifingu innan þýðisins eða úrtaksins í heild, en spáin hefur fyrst og fremst gildi fyrir hópa, ekki einstaklinga.
Í fyrirhugaðri rannsókn til undirbúnings að notkun raðgreiningarupplýsinga í heilbrigðisþjónustu sem sótt er um heimild til vinnslu persónuupplýsinga fyrir er ráðgert að skrá upplýsingar úr hópskrám LSH um alla sem hafa sótt þjónustu á LSH sl. 5 ár. Með því má fá stóra hópa (úrtök) með sömu sjúkdómsgreiningu, lyfjanotkun og lyfjasvörun, rannsóknir, meðferð, mælingar og prófanir til að hægt sé að fá marktækar spár um tíðni og dreifingu ákveðinna erfðabreytileika sem vitað eða talið er að tengist sjúkdómunum, framgangi þeirra eða svörun við lyfjum eða annarri meðferð.
Skjólstæðingar LSH eru sem hópur ólíkir þeim rúmlega 100.000 Íslendingum sem tekið hafa þátt í rannsóknum á vegum ÍE, m.t.t. aldurs, kyns, tíðni sjúkdóma o.fl., þar sem þátttakendur í rannsóknum ÍE eru langflestir komnir á miðjan aldur, með algenga, oft alvarlega sjúkdóma, svo og fyrstu gráðu ættingjar þeirra. Með því að nota upplýsingar um alla sem notið hafa þjónustu LSH á 5 ára tímabili fást óbjagaðar upplýsingar um notendur heilbrigðisþjónustunnar og skilgreinda hópa meðal þeirra.
Stærð hópanna ræður miklu um áreiðanleika spánna um líkindaarfgerðir, tíðni þeirra og dreifingu innan og milli hópanna. Brotakenndar óvissar upplýsingar um einstaklinga eru sameinaðar og hermun beitt til að fá fram öruggar upplýsingar fyrir hópinn í heild.
Sérfræðingar ÍE munu annast samkeyrslu fyrirliggjandi klínískra gagna úr hópskrám LSH og erfðafræðigagna ÍE svo og tölfræðilega úrvinnslu niðurstaðna í samvinnu við sérfræðinga LSH. Niðurstöðurnar um tíðni og dreifingu erfðabreytileika má ef til vill nota við greiningu og til að velja einstaklingsbundna meðferð. Á grundvelli þeirra svo og upplýsinga um stærð hópanna ásamt gögnum um kostnað við sjúkdómsgreiningu og meðferð munu ábyrgðaraðilar og sérfræðingar ÍE og LSH hanna rannsóknarspurningar og meta niðurstöðurnar m.t.t. klínísks notagildis, læknisfræðilegrar þýðingar, kostnaðarþátta og praktískrar notkunar erfðaupplýsinga í klínísku starfi. Sótt verður um leyfi fyrir slíkum rannsóknum samkvæmt hefðbundnum leiðum.
Það er von okkar að svör við spurningum Persónuverndar séu fullnægjandi varðandi afleiddar arfgerðir einstaklinga og líkindaarfgerðir hópa sem njóta þjónustu LSH og fyrirhuguð vinnsla persónuupplýsinga vegna undirbúnings að notkun raðgreiningarupplýsinga í heilbrigðisþjónustu nær til.“
II.
Forsendur og niðurstaða
1.
Almennt
Lög nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga gilda um sérhverja rafræna vinnslu persónuupplýsinga, sem og um handvirka vinnslu slíkra upplýsinga sem eru eða eiga að verða hluti af skrá, sbr. 1. mgr. 3. gr. laganna.
Persónuupplýsingar eru sérhverjar persónugreindar eða persónugreinanlegar upplýsingar, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi, sbr. 1. tölul. 2. gr. laganna. Hugtakið tekur m.a. til upplýsinga sem merktar eru með tilvísunarnúmerum en sem hægt er að rekja til einstaklings á grundvelli greiningarlykils. Samkvæmt umsókn er fyrirhugað að senda upplýsingar frá Landspítala, auðkenndar með kennitölum, til Þjónustumiðstöðvar rannsóknarverkefna, en þaðan verði þær sendar Íslenskri erfðagreiningu ehf. (ÍE) um svonefnt IPS-kerfi sem breytir kennitölum í dulkóðunarnúmer. Þannig auðkenndar verði þær samkeyrðar við gögn hjá ÍE, auðkennd með sama hætti. Sú dulkóðun, sem hér um ræðir, er tvíátta og því mögulegt að afkóða dulkóðunarnúmerin í kennitölur. Þegar af þessari ástæðu verða umræddar upplýsingar taldar persónuupplýsingar í skilningi laganna.
Með hugtakinu vinnsla er átt við sérhverja aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur vinnslan er handvirk eða rafræn, sbr. 2. tölul. 2. gr. laganna. Til vinnslu telst m.a. samkeyrsla persónuupplýsinga, sbr. b-lið 2. gr. tilskipunar 95/46/EB.
Er því um vinnslu persónuupplýsinga að ræða í skilningi laga nr. 77/2000 og fellur í verkahring Persónuverndar að taka afstöðu til lögmætis þeirrar vinnslu, sbr. 37. gr. laganna.
Þær upplýsingar, sem samkvæmt umsókn er ráðgert að miðla frá Landspítala til ÍE, eru úr svonefndum hópskrám og lúta að heilsuhögum allra þeirra sem leitað hafa til Landspítala síðustu fimm ár. Nánar tiltekið er um að ræða upplýsingar um sjúkdómsgreiningar, aðgerðar- og meðferðarkóða, lyfjaávísanir, mælingar, prófanir og kostnaðarflokka, auk viðeigandi dagsetninga. Þau gögn, sem þessar upplýsingar er ráðgert að samkeyra við hjá ÍE, lúta að niðurstöðum mælinga, spurningakannana og viðtala, sem gerðar hafa verið í þágu einstakra rannsókna; ættartengslum manna; sem og arfgerð einstaklinga, en hún hefur verið áætluð fyrir þá sem ekki hafa tekið þátt í rannsóknum á vegum ÍE og samstarfsaðila.
Upplýsingar um heilsuhagi manna, þ. á m. arfgerð, teljast til viðkvæmra persónuupplýsinga, sbr. c-lið 8. tölul. 1. mgr. 2. gr. laga nr. 77/2000. Vinnsla slíkra upplýsinga verður að eiga sér heimild í 1. mgr. 8. gr. og 1. mgr. 9. gr. laga nr. 77/2000. Sé engu skilyrða 1. mgr. 9. gr. fullnægt eru ekki sérstök efni til athugunar að því er varðar skilyrði 1. mgr. 8. gr.
Þrátt fyrir að framangreind skilyrði séu uppfyllt getur Persónuvernd ákveðið að vinnsla megi ekki hefjast fyrr en hún hefur verið athuguð af stofnuninni og samþykkt með útgáfu sérstakrar heimildar. Það á við ef um ræðir vinnslu persónuupplýsinga sem getur falið í sér sérstaka hættu á að farið verði í bága við réttindi og frelsi skráðra aðila, sbr. 33. gr. laga nr. 77/2000. Með stoð í m.a. því ákvæði hefur Persónuvernd sett reglur nr. 712/2008 um tilkynningarskylda og leyfisskylda vinnslu persónuupplýsinga, en samkvæmt 1. tölul. 1. mgr. 4. gr. þeirra reglna er samkeyrsla viðkvæmra persónuupplýsinga háð leyfi stofnunarinnar. Frá þeirri leyfisskyldu eru vissar undantekningar, þ. á m. samþykki, sbr. 2. mgr. 4. gr. reglnanna, en ljóst er að þær eiga ekki við hér.
Einnig þarf leyfi til aðgangs að sjúkraskrám í þágu vísindarannsóknar á heilbrigðissviði, sbr. 3. mgr. 15. gr. laga nr. 74/1997 um réttindi sjúklinga. Í umsókn segir að umræddar hópskrár tilheyri ekki persónulegri sjúkraskrá. Til þess er hins vegar að líta að samkvæmt 5. tölul. 2. gr. laga nr. 55/2009 um sjúkraskrár er með slíkri skrá átt við safn sjúkraskrárupplýsinga um sjúkling sem unnar eru í tengslum við meðferð eða fengnar annars staðar frá vegna meðferðar hans á heilbrigðisstofnun eða starfsstofu heilbrigðisstarfsmanns. Þá segir í 4. tölul. sömu greinar að með sjúkraskrárupplýsingum sé átt við lýsingu eða túlkun í rituðu máli, myndir, þ.m.t. röntgenmyndir, línurit og mynd- og hljóðupptökur sem innihalda upplýsingar er varða heilsufar sjúklings og meðferð hans hjá heilbrigðisstarfsmanni eða heilbrigðisstofnun og aðrar nauðsynlegar persónuupplýsingar. Umræddar skrár tengjast allar svonefndu vöruhúsi gagna á Landspítala, þ.e. tölvukerfi sem gerir spítalanum kleift að tengja saman upplýsingar úr einstökum skrám með einföldum hætti. Ber því að líta svo á að hér sé um að ræða safn sjúkraskrárupplýsinga og þar með sjúkraskrá í skilningi laga nr. 55/2009.
Samkvæmt framangreindu er því ljóst að bæði umræddar samkeyrslur hjá ÍE, sem og aðgangur að umræddum upplýsingum á Landspítala í þágu verkefnisins, falla undir reglur um leyfisskyldu, sbr. 1. tölul. 1. mgr. 4. gr. reglna nr. 712/2008, sbr. 33. gr. laga nr. 77/2000, og 3. mgr. 15. gr. laga nr. 74/1997. Þá er í 3. mgr. 9. gr. laga nr. 77/2000 mælt fyrir um að Persónuvernd geti að vissum skilyrðum fullnægðum heimilað vinnslu viðkvæmra persónuupplýsinga, enda þótt engu af skilyrðum 1. mgr. sömu greinar sé fullnægt.
2.
Lögmæti vinnslu
2.1.
Samþykki sem lögmætisgrundvöllur
Samkvæmt 1. tölul. 1. mgr. 9. gr. laga nr. 77/2000 er heimilt að vinna með viðkvæmar persónuupplýsingar á grundvelli samþykkis hins skráða. Ljóst er að meirihluti þeirra einstaklinga, sem fyrirhugað er að vinna með upplýsingar um í þágu umrædds verkefnis, hefur ekki veitt samþykki af neinu tagi sem til álita getur komið sem lögmætisgrundvöllur, né heldur er fyrirhugað að afla samþykkis frá þeim einstaklingum.
Að hluta til er þó ráðgert að nýta upplýsingar sem safnað hefur verið á grundvelli samþykkis, þ.e. upplýsingar í rannsóknum ÍE og samstarfsaðila sem þátttakendur hafa veitt umboð sitt til öflunar á með undirritun samþykkisyfirlýsinga eða sjálfir látið í té að veittri slíkri yfirlýsingu. Þegar um ræðir svokallað B-samþykki, þ.e. samþykki sem ekki aðeins heimilar notkun upplýsinga í einni tiltekinni rannsókn heldur einnig varðveislu þeirra í þágu frekari rannsókna, getur umrædd vinnsla helgast af því, en þó aðeins að því er varðar þær upplýsingar sem samþykkið heimilar söfnun á. Samkvæmt umsókn er ráðgert að miðla víðtækum heilsufarsupplýsingum frá Landspítala til ÍE. Ekki verður séð að sú miðlun upplýsinga geti í heild sinni fallið undir það umboð til upplýsingaöflunar sem umræddar samþykkisyfirlýsingar veita.
Einnig er við umrætt verkefni fyrirhugað að nýta upplýsingar sem ÍE hefur safnað á grundvelli svonefnds A-samþykkis, en í því felst að viðkomandi þátttakandi heimilar aðeins notkun upplýsinga um sig í þágu einnar tiltekinnar rannsóknar, en að þeirri rannsókn lokinni skuli upplýsingunum eytt. Af þessu leiðir jafnframt að notkun upplýsinganna í þágu frekari rannsóknarverkefna fer í bága við samþykkið og getur það því ekki löghelgað þá vinnslu sem hér um ræðir.
Þegar litið er til framangreinds er ljóst að umrædd vinnsla styðst ekki við ákvæði 1. tölul. 1. mgr. 9. gr. laga nr. 77/2000.
2.2.
Vinnsluheimild vegna nauðsynjar í þágu vísindarannsóknar
Þegar vinnsla persónuupplýsinga í þágu rannsóknar byggist ekki á samþykki reynir á hvort vinnslan geti átt stoð í 9. tölul. 1. mgr. 9. gr. laga nr. 77/2000, þess efnis að vinnsla persónuupplýsinga sé heimil sé hún nauðsynleg vegna tölfræði- eða vísindarannsókna, enda verði persónuvernd tryggð með tilteknum ráðstöfunum eftir því sem við á. Við túlkun þess ákvæðis ber að líta til 6. gr. Evrópusamnings frá 28. janúar 1981 um vernd einstaklinga varðandi vélræna vinnslu persónuupplýsinga þar sem m.a. kemur fram að ekki má vinna vélrænt með persónuupplýsingar um heilsuhagi manna nema lög geri ráð fyrir viðeigandi verndarákvæðum. Sömuleiðis ber að líta til tilskipunar 95/46/EB, sem lög nr. 77/2000 byggja á, en í 34. lið formálsorða hennar kemur fram að aðildarríkin mega víkja frá banni við vinnslu viðkvæmra flokka upplýsinga, t. d. á sviði vísindarannsókna, ef almannahagsmunir krefjast þess og sett eru sértæk og viðeigandi öryggisákvæði til verndar grundvallarréttindum manna og rétti þeirra til friðhelgi einkalífs. Í samræmi við þetta er, í 4. mgr. 8. gr. tilskipunarinnar, kveðið á um að aðildarríki megi, með fyrirvara um setningu viðeigandi öryggisákvæða, mæla fyrir um undanþágur frá banni við vinnslu viðkvæmra persónuupplýsinga, annaðhvort í innlendum lögum eða með ákvörðun eftirlitsyfirvalds.
Samkvæmt framanrituðu verður sá skilningur ekki lagður í ákvæði 9. tölul. að það geti eitt og sér talist fullnægjandi heimild fyrir vinnslu heilsufarsupplýsinga. Hefur ákvæðið hins vegar verið skilið sem vísiregla, þess efnis að vinnsla viðkvæmra persónuupplýsinga geti farið fram í þágu vísindarannsókna án samþykkis þegar almannahagsmunir af slíku vega þyngra en einkalífshagsmunir hins skráða, enda sé rannsóknunum sköpuð viðeigandi umgjörð, t.d. með skilmálum í stjórnvaldsleyfum eða sérstökum lagaramma. Við hagsmunamat samkvæmt ákvæðinu verður m.a. að líta til umfangs þeirra upplýsinga, sem unnið er með um hvern einstakling, og eðlis þeirra. Getur þá komið þá til þess að vinnsla geti einungis farið fram á grundvelli samþykkis hins skráða, sbr. fyrrnefnt ákvæði 1. tölul. 1. mgr. 9. gr., eða sérstakrar lagaheimildar, sbr. 2. tölul. sömu málsgreinar.
Upplýsingar um arfgerð manna hafa verið álitnar sérstaks eðlis í ljósi þess sem þær bera með sér um eiginleika einstaklings. Í alþjóðlegri yfirlýsingu Mennta-, vísinda- og menningarstofnunar Sameinuðu þjóðanna (UNESCO) frá 18. október 2003 er á þessu byggt, en þar segir m.a. að fyrirfram skuli afla upplýsts, yfirlýsts samþykkis fyrir söfnun upplýsinga um erfðaefni manna, hvort sem upplýsinganna er aflað með beinni íhlutun (s.s. sýnatöku) eður ei, sbr. a-lið 8. gr. yfirlýsingarinnar. Einnig kemur fram í ákvæðinu að hið sama gildi um eftirfarandi meðferð upplýsinganna og varðveislu, hvort sem opinberir aðilar eða einkaaðilar hafa vinnsluna með höndum. Takmarkanir á þessari samþykkiskröfu geti aðeins byggst á brýnum ástæðum og löggjöf sem samrýmist alþjóðlegum mannréttindareglum.
Einnig hefur verið litið svo á að þeim mun stærri sem söfn heilbrigðisupplýsinga séu og varðveislutími lengri, þeim mun skýrari þurfi lagagrundvöllurinn fyrir vinnslu upplýsinganna að vera. Í dómi Hæstaréttar frá 27. nóvember 2003 í máli nr. 151/2003 birtist mikilvægt fordæmi þar að lútandi. Í þeim dómi komst rétturinn að þeirri niðurstöðu að lagaheimild til skráningar og frambúðarvarðveislu víðtækra sjúkraskrárupplýsinga án samþykkis í rannsóknargagnagrunn samkvæmt lögum nr. 139/1998 um gagnagrunn á heilbrigðissviði væri ekki nægilega skýr, þ.e. ekki væri nægilega ítarlega fjallað um hvernig gæta ætti öryggis gagnanna. Lögin voru því ekki talin samrýmast 71. gr. stjórnarskrárinnar. Kemur fram í dóminum að eftirlit stjórnvalda getur ekki komið í stað skýrrar lagaheimildar. Af þessum dómi verður séð að gerðar eru strangar kröfur til þess að rannsóknargagnagrunnar byggist á lagaheimild, sem og hvernig slík lagaheimild skal úr garði gerð.
Fyrir liggur að við umrætt verkefni er fyrirhugað að vinna með upplýsingar um erfðaeiginleika allra Íslendinga sem í tilviki þeirra sem ekki hafa samþykkt þátttöku í rannsókn á vegum ÍE og samstarfsaðila er áætluð á grundvelli líkindaútreiknings. Af skýringum ÍE, sem fram koma í bréfi fyrirtækisins til Persónuverndar, dags. 22. apríl 2013, verður ráðið að ekki sé þar aðeins um að ræða tölfræðilegar niðurstöður fyrir hópa heldur upplýsingar sem beinlínis eru tengdar við tiltekna einstaklinga. Þá liggur fyrir að auk umræddra upplýsinga, sem og upplýsinga um sjúkdómsgreiningar og önnur atriði sem ÍE hefur safnað á grundvelli samþykkis, er ráðgert að vinna með víðtækar heilsufarsupplýsingar um alla þá sem leitað hafa þjónustu Landspítalans síðustu fimm ár. Þær upplýsingar er fyrirhugað að varðveita innan veggja ÍE í þau fimm til tíu ár sem áætlað er að verkefnið standi yfir, sem og í sjö ár til viðbótar. Heildarvarðveislutími gæti því orðið 17 ár.
Þó svo að ekki sé fyrirhuguð frambúðarvarðveisla er fyrirhugaður varðveislutími því engu að síður mjög langur. Þá er ráðgert að vinna með víðtækar upplýsingar um arfgerð manna hvort sem viðkomandi hafa samþykkt slíkt eður ei og tengja við upplýsingar úr sjúkraskrám um heilsuhagi. Til þess er að líta að um ræðir viðkvæmar persónuupplýsingar sem varða einkamálefni manna. Þær njóta ótvíræðrar verndar 71. gr. stjórnarskrár lýðveldisins Íslands, nr. 33/1944, sem mælir fyrir um að allir skuli njóta friðhelgi einkalífs heimilis og fjölskyldu og að þann rétt megi einungis takmarka með sérstakri lagaheimild ef brýna nauðsyn ber til vegna réttinda annarra. Af því leiðir að handhöfum framkvæmdarvalds verður ekki falið óheft ákvörðunarvald um heimildir til vinnslu viðkvæmra persónuupplýsinga.
Persónuvernd er stjórnsýslustofnun sem m.a. hefur verið falið það hlutverk að veita leyfi til vinnslu persónuupplýsinga innan ramma laga, sbr. m.a. fyrrnefnd ákvæði 3. mgr. 9. gr. laga nr. 77/2000, 1. tölul. 1. mgr. 4. gr. reglna nr. 712/2008, sbr. 33. gr. sömu laga, og 3. mgr. 15. gr. laga nr. 74/1997. Við slíkar leyfisveitingar ber Persónuvernd að halda sig innan þeirra marka sem leiða af stjórnarskrá og mannréttindasamningum sem Ísland hefur fullgilt, s.s. mannréttindasáttmála Evrópu og Evrópusamningi frá 28. janúar 1981 um vernd einstaklinga varðandi vélræna vinnslu persónuupplýsinga, einkum 6. gr. þess samnings. Í ljósi þess sem fyrr greinir um umfang umræddrar vinnslu og eðli þeirra upplýsinga, sem ráðgert er að vinna með, auk framangreinds hæstaréttardóms, telur Persónuvernd vinnsluna aðeins mega fara fram á grundvelli samþykkis viðkomandi einstaklinga eða sérstakrar lagaheimildar, sbr. 1. og 2. tölul. sömu málsgreinar. Þar sem ekki er hins vegar ráðgert að afla samþykkis og þar sem lagaheimild skortir hefur Persónuvernd ekki heimild að lögum til að veita umbeðið leyfi.
3.
Niðurstaða
Með vísan til framangreinds er synjað um útgáfu leyfis á grundvelli umræddrar umsóknar, dags. 27. nóvember 2012. Eins og fyrr greinir verður ráðið af umsókninni að innan veggja ÍE sé unnið með áætlaðar arfgerðir tengdar tilteknum einstaklingum án þess að þeir hafi samþykkt slíkt. Með heimild í 1. mgr. 40. gr. laga nr. 77/2000, og með vísan til umfjöllunar hér að framan, er mælt fyrir um að ÍE skuli tryggja að öll slík vinnsla, þ. á m. varðveisla, grundvallist á samþykki. Skal ÍE leggja fyrir Persónuvernd eigi síðar en 1. nóvember nk. gögn um með hvaða hætti fyrirtækið hafi farið að þeim fyrirmælum. Er viðbúið að stofnunin muni ganga úr skugga um að það hafi verið gert, eftir atvikum á kostnað ÍE ef nauðsynlegt reynist að leita sérfræðiaðstoðar í þágu þess verks, sbr. 4. mgr. 37. gr. laga nr. 77/2000.
Á k v ö r ð u n a r o r ð:
Synjað er um útgáfu leyfis til vinnslu persónuupplýsinga í þágu verkefnisins „Undirbúningur að notkun raðgreiningarupplýsinga í einstaklingsmiðaðri heilbrigðisþjónustu Landspítala-háskólasjúkrahúss“, sbr. umsókn, dags. 27. nóvember 2012, til handa Íslenskri erfðagreiningu ehf. (ÍE), A, Landspítalanum, B, og C, D, E og F. Þá er mælt fyrir um að ÍE skuli tryggja að öll vinnsla áætlaðra arfgerða sem tengdar eru tilteknum einstaklingum, þ. á m. varðveisla, grundvallist á samþykki viðkomandi einstaklinga og leggja fyrir Persónuvernd eigi síðar en 1. nóvember nk. gögn um með hvaða hætti fyrirtækið hafi farið að þeim fyrirmælum.