Synjun á leyfi vegna rannsóknar - mál nr. 2013/489

Ákvörðun

Á fundi stjórnar Persónuverndar hinn 18. september 2013 var tekin svohljóðandi ákvörðun í máli nr. 2013/489:

Bréfaskipti

Hinn 5. apríl 2013 barst Persónuvernd bréf frá A, prófessor og forstöðumanni, dags. 3. s.m., þar sem óskað er eftir viðbótarleyfi til vinnslu persónuupplýsinga í þágu rannsóknarinnar „X“, þ.e. til að upplýsingar um arfgerð þátttakenda í rannsókninni megi varðveita til frambúðar í gagnagrunni hjá N í Bandaríkjunum. Lögmæti vinnslu persónuupplýsinga vegna þeirrar rannsóknar byggist á leyfi Persónuverndar, dags. 16. nóvember 2001 (mál nr. a), sbr. einnig viðbótarleyfi, dags. 14. október 2002 (mál nr. b) og 26. júní 2009 (mál nr. c); bréf, dags. 29. júní 2010 (mál nr. d) og 15. nóvember s.á. (e); og viðbótarleyfi, dags. 8. september 2011, og bréf, dags. 26. janúar 2012 (sama mál).

Í framangreindu bréfi A kemur fram að þeir sem standa að umræddri rannsókn taki þátt í fjölþjóðlegu samstarfi undir merkjum rannsóknarhópsins „Z“. Þá segir að meðlimir rannsóknarhópsins hyggist nú miðla upplýsingum um þátttakendur í rannsóknum á þeirra vegum, þ. á m. arfgerð þeirra, til N í Bandaríkjunum. Um það segir nánar:

„Nýlega fékk Z samstarfshópurinn ásamt tveimur öðrum samstarfshópum sem ganga undir nafninu C svokallaðan GAME-ON styrk frá N í Bandaríkjunum, til að arfgerðargreina hundruð þúsunda sjúklinga með svokölluðum OncoChop örflögum. Eins og áður eru það SNP sem verið er að arfgerðargreina og er áætlað að á flögunum verði a.m.k. 600 þúsund mismundandi SNPs sem valin hafa verið vegna tengsla við krabbamein á einn eða annan hátt, missterkra þó.

Ástæðan fyrir því að sótt er um viðbótarleyfi við fyrri leyfi um þátttöku í samstarfsrannsóknum undir regnhlíf Z er að N skilyrðir styrkveitingu sína við það að niðurstöðurnar úr arfgerðargreiningunni verði settar inn í svokallaðan dbGaP gagnabanka (The Database of Genotypes and Phenotypes). dbGaP er hugsaður sem gagnabanki sem geymir rannsóknaniðurstöður arfgerðagreininga bæði frá aðilum sem fjármagnaðir eru eða styrktir á einn eða annan hátt af N, svo og frá öðrum rannsóknahópum sem vilja og geta lagt til hráar rannsóknaniðurstöður sínar fyrir aðra vísindamenn. dbGaP er rekinn af ákveðinni deild innan N og áður en tekið er við gögnum inn í dbGaP verður viðkomandi vísindahópur og stofnun hans að sýna fram á fengið leyfi frá siðanefndum og persónuverndarstofnunum viðkomandi lands. Með þessari umsókn fylgir afrit af upplýsingum og yfirlýsingablöðum sem ættast er til að vísindamenn og stofnanir fylli út og skrifi undir.

dbGaP er opinn gagnabanki. Þeir sem hyggjast vinna með rannsóknagögn sem er að finna í dbGaP verða að sækja um leyfi fyrir því til óháðrar nefndar sem sett hefur verið yfir gagnabankann. Viðkomandi nefnd setur ákveðin skilyrði fyrir aðgangi að rannsóknarniðurstöðum og m.a. að þær séu ekki notaðar til annars en nefndin gefur leyfi fyrir.

Niðurstöðum arfgerðagreininganna af OncoChip örflögunum munu fylgja ópersónugreinanlegar upplýsingar eins og hvort um er að ræða BRCA1 eða BRCA2 stökkbreytingu og hvort æxli sjúklingsins er hormónajákvætt eður ei, svo og aðrar sambærilegar klínískar upplýsingar.“

Með bréfi, dags. 29. júlí 2013, óskaði Persónuvernd þess að A upplýsti hvort ráðgert væri að afla samþykkis viðkomandi einstaklinga fyrir skrásetningu arfgerðarupplýsinga, sem og tengdra upplýsinga um heilsuhagi, í gagnagrunn hjá N. Svarað var með bréfi, dags. 7. ágúst 2013. Þar segir:

„Svarið við ofangreindri fyrirspurn Persónuverndar er að ekki er ráðgert að afla viðbótarsamþykkis í tengslum við áðurnefnda rannsókn. Ástæðurnar fyrir því að við teljum okkur geta tekið þátt í þessum rannsóknum án þess að leita eftir viðbótarsamþykki eru aðallega eftirfarandi:

a) Á upplýsingablöðum sem fylgja samþykki um þátttöku í rannsókn okkar „X“, kemur fram að rannsóknin sé að hluta til unnin í samvinnu við innlenda og erlenda vísindamenn og vísindastofnanir sem fást við sömu viðfangsefni og að lífsýni séu send utan til rannsókna.

b) N staðhæfir að upplýsingar úr dpGaP gagnabankanum séu ekki afhentar fyrr en nefnd á þeirra vegum hafi farið yfir umsókn viðkomandi aðila og að umsóknin og vísindamennirnir sem að henni standa uppfylli þær kröfur sem N geri, þ.á.m. að IRP viðkomandi vísindamanna hafi farið yfir og veitt samþykki sitt.

c) Samkvæmt upplýsingum frá forsvarsmönnum Z er ráðgert að niðurstöður arfgerðargreininga úr allt að 10 þúsund DNA sýnum víðs vegar að úr heiminum verði settar inn í dpGaP undir merkjum Z. Z tryggir að niðurstöður hvers sýnis verði á engan hátt tengdar heiti BRCA2 stökkbreytingar né upprunalandi sýnis né heiti rannsóknahóps og niðurstöður úr þeim rúmlega 200 DNA sýnum sem eru úr íslenskum þátttakendum verði blandað saman með allt að 10 þúsund öðrum DNA sýnum undir Z heitinu. Til viðbótar við niðurstöður greininga á 600.000 basabreytileikum (SNPs) þurfi því ekki aðrar upplýsingar um sýnin í dpGaP (sjá fylgiskjal A sem er ljósrit af tölvupóstsamskipum við forsvarsmenn Z) en hvort þau;

1.    bera í sér BRCA1 eða BRCA2 stökkbreytingu

2.    tilheyri manni af hvíta, svarta eða asíska kynstofninum

3.    aldri hans við greiningu brjóstakrabbameins

4.    og hvort æxlið sé jákvætt fyrir estrógen og/eða prógesterón viðtaka (hormón)

Byggt á ofangreindu þá er það mat okkar að þátttaka í Z samstarfi sem felur í sér að niðurstöður arfgerðargreininga séu varðveittar í gagnabanka undir umsjón N USA og nýttar til frekari rannsókna með stýriaðgangi N sé í samræmi við upplýsingar sem veittar voru í tengslum við samþykktaryfirlýsingu rannsóknarinnar (sjá fylgiskjöl B sem eru ljósrit af upplýsinga- og samþykkiblöðum).“

II.

Niðurstaða Persónuverndar

Lög nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga gilda um sérhverja rafræna vinnslu persónuupplýsinga og handvirka vinnslu persónuupplýsinga sem eru eða eiga að verða hluti af skrá, sbr. 1. mgr. 3. gr. laganna. Persónuupplýsingar eru skilgreindar í 1. tölul. 2. gr. laganna sem sérhverjar persónugreindar eða persónugreinanlegar upplýsingar um hinn skráða, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi. Hugtakið vinnsla er skilgreint sem sérhver aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur vinnslan er handvirk eða rafræn, sbr. 2. tölul. 2. gr. laganna.

Fyrir liggur að umræddar upplýsingar verða ekki auðkenndar með persónuauðkennum hjá N. Á heimasíðu N kemur hins vegar fram sú afstaða að engu að síður sé um að ræða upplýsingar sem unnt geti verið að rekja til einstaklinga, en í umfjöllun, sem þar má finna um umræddan gagnagrunn, þ.e. undir fyrirsögninni „GaP FAQ Archive“, segir m.a.:

„The individual-level data submitted to the dbGaP is required to be de-identified. No names or identifiable information is attached to the data. The genetic fingerprint however is embedded in individual's genotype data, which is not de-identifiable. That is why, to protect individual's privacy, all individual level data is only distributed through the Authorized Access System.“

Þegar litið er til framangreinds ber að líta svo á að hér ræði um vinnslu persónuupplýsinga sem falli undir valdsvið Persónuverndar. Svo að hún sé heimil þarf, eins og ávallt við vinnslu persónuupplýsinga, að vera fullnægt einhverju skilyrðanna sem mælt er fyrir um í 8. gr. laga nr. 77/2000. Þar sem um ræðir viðkvæmar persónuupplýsingar, þ.e. um erfðaeiginleika, sbr. c-lið 8. tölul. 2. gr. sömu laga, þarf einnig að vera fullnægt einhverju viðbótarskilyrða 9. gr. laganna fyrir vinnslu slíkra upplýsinga. Við mat á hvaða ákvæði 8. og 9. gr. geti hér átt við ber að líta til dóms Hæstaréttar frá 27. nóvember 2003 í máli nr. 151/2003, en þar birtist sú túlkun á 71. gr. stjórnarskrárinnar að varðveisla persónugreinanlegra heilsufarsupplýsinga í þágu vísindarannsókna á heilbrigðissviði verði að byggjast á annaðhvort samþykki viðkomandi einstaklings eða lagaheimild. Þá ber að líta til alþjóðlegrar yfirlýsingar Mennta-, vísinda- og menningarstofnunar Sameinuðu þjóðanna (UNESCO) frá 18. október 2003, en þar segir m.a. að fyrirfram skuli afla upplýsts, yfirlýsts samþykkis fyrir söfnun upplýsinga um erfðaefni manna, hvort sem upplýsinganna er aflað með beinni íhlutun (s.s. sýnatöku) eður ei, sbr. a-lið 8. gr. yfirlýsingarinnar. Einnig kemur fram í ákvæðinu að hið sama gildi um eftirfarandi meðferð upplýsinganna og varðveislu, hvort sem opinberir aðilar eða einkaaðilar hafa vinnsluna með höndum. Takmarkanir á þessari samþykkiskröfu geti aðeins byggst á brýnum ástæðum og löggjöf sem samrýmist alþjóðlegum mannréttindareglum.

Í ljósi alls framangreinds telur Persónuvernd að byggja verði á að hér sé um að ræða persónuupplýsingar, sem og að samþykki þurfi til að færa megi þær í umræddan gagnagrunn og varðveita þar til frambúðar, sbr. og einnig ákvæði 1. tölul. 1. mgr. 8. gr., 1. tölul. 1. mgr. 9. gr. og 1. tölul. 1. mgr. 30. gr. laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga. Samþykkisyfirlýsingar þeirra einstaklinga, sem tekið hafa þátt í rannsókninni „X“, liggja fyrir í gögnum málsins. Í þeim kemur fram að með undirskrift samþykkis sé fallist á að Lífsýnasafn Rannsóknastofu í meinafræði varðveiti erfðefni, lífsýni og upplýsingar sem viðkomandi einstaklingur hefur leyft söfnun á. Þá kemur fram í skriflegri fræðslu til þátttakenda að rannsóknin sé unnin að hluta til í samvinnu við erlenda vísindamenn og vísindastofnanir og kunni sýni því að verða send utan til rannsókna, sem og að samvinnu við líftæknifyrirtæki kunni hugsanlega að verða komið á síðar meir.

Ekki verður litið svo á að í framangreindu felist samþykki til frambúðarvarðveislu upplýsinga um arfgerð hjá öðrum aðilum en Lífsýnasafni rannsóknastofu í meinafræði. Þar sem ekki verður séð að heimilt geti verið að varðveita upplýsingarnar til frambúðar á öðrum grundvelli eru ekki forsendur til að fallast á framkomna beiðni um viðbótarleyfi til vinnslu persónuupplýsinga vegna umræddrar rannsóknar, þ.e. til að senda lífsýni til N þar sem niðurstöður arfgerðargreiningar á sýnunum verði færðar í gagnagrunn til sameiginlegra nota vísindamanna í svonefndu Z-samstarfi.

Á k v ö r ð u n a r o r ð:

Synjað er um útgáfu viðbótarleyfis til vinnslu persónuupplýsinga í þágu rannsóknarinnar „X“, sbr. bréf A, prófessors og forstöðumanns, dags. 3. apríl 2013, þ.e. til að senda lífsýni til N í Bandaríkjunum þar sem niðurstöður arfgerðargreiningar á sýnunum verði færðar í gagnagrunn án öflunar samþykkis viðkomandi einstaklinga til sameiginlegra nota vísindamanna í svonefndu Z-samstarfi.

Var efnið hjálplegt? Já Nei