Vinnsla persónuupplýsinga í tengslum við erfðarannsókn - mál nr. 2013/52

20.8.2013

Úrskurður

Á fundi stjórnar Persónuverndar hinn 6. ágúst 2013 var kveðinn upp svohljóðandi úrskurður í máli nr. 2013/52:

I.

Bréfaskipti

1.

Með bréfi til Persónuverndar, dags. 11. janúar 2013, lýsti B, hdl. þeirri  skoðun f.h. A (hér eftir nefndur kvartandi) að vinnsla Íslenskrar erfðagreiningar ehf. (ÍE) á persónuupplýsingum við framkvæmd rannsókna væri farin fram úr því sem lög, leyfisskilmálar og samþykki þátttakenda leyfa. Eru í bréfinu talin upp ýmis dæmi um verklag við rannsóknir sem sögð eru bera vott um þetta, m.a. að arfgerðir hafi verið áætlaðar fyrir einstaklinga án samþykkis þeirra. Þá kemur fram í bréfinu að kvartandi er á meðal þeirra sem tekið hafa þátt í rannsóknum á vegum ÍE.

Með bréfi til lögmannsins, dags. 16. janúar 2012, óskaði Persónuvernd eftir því að fram kæmi með skýrum hætti hvort líta bæri á erindi hennar sem kvörtun umbjóðanda hennar yfir vinnslu persónuupplýsinga um sig vegna tiltekinnar erfðarannsóknar. Þess var jafnframt óskað að fram kæmi þá hvaða rannsókn væri um ræða, sem og hvaða vinnslu hann teldi hafa farið út fyrir ramma þess sem hann hefði samþykkti og, eftir atvikum, leyfi Persónuverndar. Kvartandi svaraði með bréfi, dags. 22. janúar 2013. Þar kemur m.a. fram að hann hafi tekið þátt í rannsókn á erfðum einhverfu sem ættingi þátttakanda með greiningu, en lögmæti vinnslu persónuupplýsinga vegna þeirrar rannsóknar hefur byggst á leyfi Persónuverndar, dags. 16. febrúar 2001 (mál nr. 7/2001), sbr. áður leyfi tölvunefndar, forvera Persónuverndar, dags. 16. júlí 1999 (mál nr. 246/1999).

Persónuvernd taldi mega ráða af framangreindu bréfi kvartanda að hann óskaði almennrar athugunar Persónuverndar á upplýsingavinnslu ÍE, en að einnig væri um að ræða kvörtun hans vegna meðferðar persónuupplýsinga við umrædda rannsókn á erfðum einhverfu. Með tölvubréfi til hans hinn 5. febrúar 2013 óskaði Persónuvernd eftir staðfestingu hans á þessum skilningi og barst hún með svari hans hinn 8. s.m. Í kjölfar þess sendi Persónuvernd ÍE bréf, dags. 10. s.m., þar sem fyrirtækinu var veittur kostur á að skila athugasemdum. Eins og rakið er í bréfinu ákvað Persónuvernd að takmarka athugun sína í tilefni af umræddri kvörtun við vinnslu persónuupplýsinga um kvartanda sjálfan. Hins vegar hafa álitaefni varðandi meðferð persónuupplýsinga um þátttakendur í rannsóknum ÍE almennt, þ. á m. notkun líkindaarfgerða án samþykkis, verið til skoðunar hjá stofnuninni í tilefni umsóknar ÍE og Landspítala, dags. 27. nóvember 2011, um leyfi til vinnslu persónuupplýsinga í þágu verkefnisins „Undirbúningur að notkun raðgreiningarupplýsinga í einstaklingsmiðaðri heilbrigðisþjónustu Landspítala-háskólasjúkrahúss“ (mál nr. 2012/1404).

ÍE sendi athugasemdir sínar vegna kvörtunarinnar með bréfi, dags. 13. mars 2013, og var lögmanni kvartanda veitt færi á að tjá sig um það svar með bréfi, dags. 27. s.m. Kvartandi svaraði með bréfi, dags. 17. apríl 2013, og var ÍE veitt færi á að tjá sig um það svar með bréfi, dags. 3. maí s.á. ÍE greindi frá því símleiðis hinn 8. s.m. að fyrirtækið sæi ekki ástæðu til athugasemda. Af símtalinu varð hins vegar ráðið að svörin, sem fram koma í bréfinu frá 13. mars 2013, væru áréttuð.

2.

Í framangreindu bréfi lögmanns kvartanda, dags. 11. janúar 2013, segir m.a.:

„Umbjóðandi minn telur að ÍE hafi notað erfðamengi sitt og annarra þátttakenda í rannsóknum ÍE umfram það sem upplýst samþykki veitti leyfi til í skilningi laga nr. 77/2000 og skv. reglum nr. 170/2001 um upplýst samþykki í vísindarannsókn á heilbrigðissviði sbr. eftirfarandi:

· Í fyrsta lagi gaf umbjóðandi minn einungis leyfi til rannsókna á erfðamengi sínu til rannsókna á ákveðnum, tilteknum sjúkdómum en ekki til almennra rannsókna á mörgum mögulegum sjúkdómum, eins og ÍE virðist telja sig hafa heimild fyrir.

· Í öðru lagi gaf umbjóðandi minn ekki leyfi til rannsókna á erfðamengi sínu til að áætla mætti erfðamörk barna hans og annarra skyldmenna og áætla síðan áhættu þeirra fyrir sjúkdómum án þess að þau viti af því. Umbjóðandi minn bendir á að enginn getur gefið samþykki fyrir annars hönd. […]

· Í þriðja lagi gaf umbjóðandi minn ekki leyfi til að selja þær upplýsingar til þriðja aðila. […]

· Í fjórða lagi telur umbjóðandi minn samkvæmt framangreindum upplýsingum að búið sé að persónugreina heilsufarsupplýsingar úr erfðagagnagrunni fyrirtækisins, sem eiga að vera ópersónugreinanlegar, þar sem niðurstöður úr erfðarannsóknum ÍE eru notaðar til að staðfesta viðkomandi sjúkdóma og svipgerðir hjá þeim einstaklingum sem hafa erfðabreytileika […].“

Í framangreindu bréfi ÍE, dags. 13. mars 2013, segir m.a. að samkvæmt því samþykki til þátttöku í umræddri rannsókn, sem kvartandi undirritaði, heimili hann varðveislu erfðaefnis og upplýsinga, sem safnað hafi verið, undir dulkóða en hvorugt megi nota til annarra rannsókna en þeirra sem hlotið hafi umfjöllun og samþykki Persónuverndar og vísindasiðanefndar. Misskilnings gæti í vísan kvartanda til „almennra rannsókna á mörgum mögulegum sjúkdómum“, sbr. tilvitnun hér að framan, en ÍE fái tilskilin leyfi fyrir öllum rannsóknum, hvort sem er á einstökum svipgerðum, sjúkdómum eða sjúkdómaflokkum, áður en þær hefjist. Notkun ÍE á upplýsingum kvartanda hafi einskorðast við rannsókn á erfðum einhverfu og skyldum sjúkdómum, enda séu upplýsingar um hann takmarkaðar við þá rannsókn sem hann samþykkti þátttöku í.

Einnig segir í bréfi ÍE að hafi upplýsingar um arfgerð kvartanda verið nýttar til að áætla erfðamörk barna hans og annarra skyldmenna og áhættu þeirra fyrir sjúkdómum sé sú áætlun í hæsta máta ónákvæm og óörugg. Hún sé því ónothæf til að spá fyrir um mögulega sjúkdómaáhættu þeirra nema þeir hafi tekið þátt í rannsókn á vegum ÍE og upplýst um svipgerð og verið arfgerðargreindir með upplýstu samþykki. Nánar segir m.a. að þegar arfgerðir hjá ÍE séu áætlaðar fyrir þá sem ekki hafa tekið þátt í rannsókn hafi þær litla nákvæmni hvað viðkomi einstaklingum en geti engu að síður gefið gagnlegt mat fyrir stórt úrtak. Einnig segir:

„Með slíkri hermun er spáð fyrir um líklegar arfgerðir allra í þýðinu til að áætla tíðni þeirra og dreifingu í stóru úrtaki og þýðinu í heild. Það er misskilningur kvartanda að nýjar upplýsingar séu búnar til um einstaklinga sem ekki hafa tekið þátt í rannsóknum ÍE, einungis er um að ræða spár sem notaðar eru í erfðafaraldsfræðilegum rannsóknum. Því er fráleitt að halda að slíkar líkindaarfgerðir verði notaðar við klínískar prófanir á einstaklingum sem ekki hafi nokkra hugmynd um það, eins og kvartandi gefur í skyn.“

Því er auk þess vísað á bug í bréfi ÍE að upplýsingar um kvartanda hafi verið seldar þriðja aðila eða upplýsingar hafi verið persónugreindar án heimildar. Einnig er minnt á að samkvæmt því samþykki, sem hann veitti, geti hann hafnað eða hætt við þátttöku hvenær sem er og án nokkurra skilyrða. Ákveði hann að hætta þátttöku hafi það í för með sér að öllum lífsýnum og upplýsingum, sem frá honum hafi verið safnað, verði eytt og rannsakendum gert ókleift að rekja dulkóða til hans.

Í framangreindu bréfi kvartanda til Persónuverndar, dags. 17. apríl 2013, segir m.a. að ÍE dragi úr vægi þeirrar aðferðarfræði sem beitt sé við gerð líkindaarfgerða þeirra sem ekki hafa samþykkt þátttöku í rannsóknum á vegum fyrirtækisins og samstarfsaðila, en aðferðin sé það nákvæm að niðurstaða erfðamengisgreiningar fyrir þau svæði í erfðamenginu, sem áhugaverð eru til rannsóknar, sé nánast engu lakari en ef sjálft erfðaefnið væri raðgreint. Rakið er í ítarlegu máli hvernig kvartandi telur þá tækni, sem ÍE beitir, leiða til þessa, þ.e. að nákvæmnin verði 99%. Hvað samþykki varðar segir m.a.:

„Undirritaður gaf hins vegar ekki leyfi fyrir því að nota mætti sitt erfðamengi (og þetta á við um alla aðra Íslendinga sem skrifuðu undir samþykki I-B) til að rannsaka aðra sjúkdóma en samþykkið segir til um, né heldur að nota megi erfðamengi undirritaðs til að búa til erfðamengisniðurstöður um skyldmenni mín, þar með talin börn og barnabörn, sem aldrei hafa tekið þátt í rannsóknum fyrirtækisins – upplýsingar sem síðan eru notaðar til að tengja við heilsufarsupplýsingar viðkomandi  […].“

Hvað varðar persónugreiningu upplýsinga telur kvartandi að ÍE sendi upplýsingar til samstarfslækna um persónuauðkenni einstaklinga, sem búnar hafi verið til arfgerðarupplýsingar um án samþykkis, til að fá hjá þeim upplýsingar um sjúkdóma. Þá segir m.a. í bréfi kvartanda að upplýsingar hjá ÍE hafi verið seldar þriðja aðila, þ.e. fyrirtækinu Amgen sem nú er orðið aðaleigandi ÍE.

II.

Niðurstaða

Í máli þessu er til umfjöllunar hvort vinnsla persónuupplýsinga um kvartanda í þágu rannsóknar á erfðum einhverfu, sbr. leyfi Persónuverndar, dags. 16. febrúar 2001 (mál nr. 7/2001), sbr. áður leyfi tölvunefndar, forvera Persónuverndar, dags. 16. júlí 1999 (mál nr. 246/1999), hafi samrýmst lögum. Það erindi kvartanda, sem varð tilefni málsins, lýtur einnig að vinnslu persónuupplýsinga um þátttakendur í rannsóknum ÍE og samstarfsaðila almennt. Eins og fram hefur komið verður hér ekki tekin afstaða til svo víðtækra úrlausnarefna en einungis fjallað um meðferð upplýsinga um kvartanda sjálfan, enda getur hann einungis haft málsaðild að því marki sem hann hefur sjálfur einstaklingsbundinna hagsmuna að gæta.

Persónuvernd getur hins vegar fjallað um mál að eigin frumkvæði, sbr. 1. mgr. 37. gr. laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga. Þá getur hún m.a. fjallað um almenn álitaefni, sem varða vinnslu persónuupplýsinga um stóran hóp einstaklinga, þegar leyfisumsóknir varðandi slíka vinnslu berast stofnuninni. Um líkindaarfgerðir, sem búnar eru til fyrir einstaklinga sem ekki hafa samþykkt þátttöku í rannsókn á vegum ÍE og samstarfsaðila, hefur nú verið fjallað í tengslum við umsókn ÍE og Landspítala, dags. 27. nóvember 2011, um leyfi til vinnslu persónuupplýsinga í þágu verkefnisins „Undirbúningur að notkun raðgreiningarupplýsinga í einstaklingsmiðaðri heilbrigðisþjónustu Landspítala-háskólasjúkrahúss“ (mál nr. 2012/1404), sbr. ákvörðun Persónuverndar, dags. 29. maí 2013. Þegar liggur því fyrir niðurstaða um framangreint atriði, en af því leiðir að ekki er þörf á að fjalla hér efnislega um það hvort notkun á arfgerðarupplýsingum kvartanda, í því skyni að búa til líkindaarfgerðir um aðra einstaklinga sem ekki hafa samþykkt þátttöku í rannsókn, sé heimil. Í stað slíkrar umfjöllunar vísast því hér til þess sem fram kemur í umræddri ákvörðun um slíkar líkindaarfgerðir.

Varðandi vinnslu persónuupplýsinga um kvartanda sjálfan liggur að öðru leyti ekki fyrir að ÍE hafi farið gegn þeirri samþykkisyfirlýsingu sem hann gaf í þágu umræddrar rannsóknar, s.s. með því að persónugreina þær án heimildar eða selja þær óviðkomandi aðilum, en tilfærsla á eignarhaldi verður ekki talin fela slíkt í sér.

Ú r s k u r ð a r o r ð:

Ekki hefur verið sýnt fram á  að Íslensk erfðagreining ehf. hafi, við vinnslu persónuupplýsinga um A, farið fram úr þeirri samþykkisyfirlýsingu sem hann gaf vegna þátttöku sinnar í rannsókn á erfðum einhverfu.