Journalnummer: 2021-432-0059

Resume

Datatilsynet indledte af egen drift i 2021 en undersøgelse af Region Hovedstadens opfyldelse af oplysningspligten i forbindelse med regionens behandling af oplysninger til brug for (fremtidig) forskning.

I den forbindelse fandt Datatilsynet, at Region Hovedstaden ikke havde givet de nødvendige oplysninger til de registrerede i en gennemsigtig og letforståelig form, hvilket gav tilsynet anledning til at udtale kritik. Derudover henstillede Datatilsynet til Region Hovedstaden, at regionen overvejer, hvordan den fremadrettet vil opfylde sin oplysningspligt over for patienter.

I sin afgørelse lagde Datatilsynet bl.a. vægt på, at hvis man som dataansvarlig er bekendt med, at ens tjenester er tilgængelige for sårbare medlemmer af samfundet, skal denne sårbarhed indgå i den dataansvarliges vurdering af, hvordan man overholder kravet om gennemsigtighed i relation til de registrerede.

Afgørelse

Datatilsynet vender hermed tilbage til sagen, hvor tilsynet ved brev af 12. marts 2021 indledte en undersøgelse af Region Hovedstadens opfyldelse af oplysningspligten efter databeskyttelsesforordningens artikel 13 i forbindelse med regionens behandling af oplysninger til brug for (fremtidig) forskning. 

1. Afgørelse

Efter en gennemgang af sagen finder Datatilsynet, at Region Hovedstaden – i forbindelse med regionens behandling af oplysninger til brug for (fremtidig) forskning – ikke har givet oplysningerne efter databeskyttelsesforordningens^[1] artikel 13 i en gennemsigtig og letforståelig form, jf. artikel 12, stk. 1, hvilket giver tilsynet anledning til at udtale kritik.

Datatilsynet henstiller, at Region Hovedstaden overvejer, hvordan regionen fremadrettet vil opfylde sin oplysningspligt over for patienter.

Nedenfor følger en nærmere gennemgang af sagen og en begrundelse for Datatilsynets afgørelse.

2. Sagsfremstilling

2.1. Som følge af henvendelser fra flere borgere blev Datatilsynet opmærksom på et informationsbrev udsendt af Region Hovedstaden i november 2020 til tidligere og nuværende patienter i regionen.

Ifølge informationsbrevet modtog borgeren brevet, fordi vedkommende i perioden fra februar 2009 til marts 2020 havde fået udtaget en blodprøve i forbindelse med patientbehandling på et af hospitalerne i Region Hovedstaden. Herefter fulgte information om, at blodprøven blev benyttet til forskning og yderligere information om bl.a., hvordan regionen behandler personoplysninger.

Det fremgik af de modtagne henvendelser fra borgere, at borgerne var af den opfattelse, at de ikke tidligere havde fået oplysninger om, at blodprøverne ville blive behandlet til forskningsformål.

2.2. Region Hovedstaden har oplyst, at patienter bliver informeret om, at overskydende restmateriale fra diagnostiske prøver bliver gemt i regionens biobank til fremtidig forskning.

Regionens håndtering af oplysningspligten, herunder i forbindelse med patientbehandling, er beskrevet i en supplerende retningslinje for informationssikkerhed og databeskyttelse. Heraf fremgår bl.a. følgende:

”Der er 2 standardtekster vedrørende oplysningspligten, som begge har en henvisning til regionens Persondatapolitik. Teksterne går igen i flere af standardprodukterne og skal herudover anvendes ad hoc, når der er behov for at kommunikere med borgere og patienter i f.eks. i breve eller lignende.

Standardteksterne findes også i engelsk udgave og er foruden Templafy også tilgængelige de centrale intranetsider om informationssikkerhed og databeskyttelse.

De to standardtekster har følgende ordlyd:

Den korte standardtekst:

”Region Hovedstaden anvender de personoplysninger, du giver os i forbindelse med din henvendelse. Du kan læse mere om formålet med anvendelsen samt dine rettigheder på vores hjemmeside: www.regionh.dk /persondatapolitik.”

Den lange standardtekst:

”Når vi behandler personoplysninger om dig, skal vi efter databeskyttelsesforordningen give dig en række oplysninger, herunder:

• At formålet med at behandle dine personoplysninger er at sagsbehandle din henvendelse. Derfor registrerer vi dine personoplysninger i vores elektroniske sagsbehandlingssystem.
• At du kan gøre brug af en række rettigheder, herunder retten til at se dine oplysninger og retten til at gøre indsigelse mod vores behandling af dine oplysninger.

Yderligere information:

Du kan læse mere på www.regionh.dk/persondatapolitik

Du er også velkommen til at kontakte Region Hovedstadens databeskyttelsesrådgiver, [x] på www.region.dk/dpo.” ”

Endvidere fremgår det af retningslinjen, at Region Hovedstadens persondatapolitik er det centrale omdrejningspunkt for regionens håndtering af oplysningspligten. Persondatapolitikken er offentligt tilgængelig på regionens hjemmeside, ligesom den er det centrale produkt, der refereres til i langt de fleste øvrige produkter.

Region Hovedstaden har oplyst, at oplysningspligten i forbindelse med patientbehandling konkret håndteres med udgangspunkt i følgende standardprodukter:

• Den regionale samtykkeerklæring,
• SP besøgssammendrag,
• Materiale målrettet patienter i akutmodtagelse og
• Standardtekster i Templafy som indsættes ad hoc, hvor der kommunikeres med borgere og patienter i brev eller lignende.

Ifølge Region Hovedstaden har produkterne til fælles, at der i dem er indarbejdet en tekst om behandling af personoplysninger samt en henvisning til regionens persondatapolitik. Regionens persondatapolitik indeholder et afsnit om forskning, som der henvises til i standardprodukterne for patientbehandling. Følgende fremgår om forskning i persondatapolitikken:

”Hvad indsamler regionen personoplysninger til?

I Region Hovedstaden indsamler vi personoplysninger til en række forskellige formål som led i vores daglige opgaveløsning med følgende formål:

[…]

Forskning

Forskning og innovation er en vigtig vej til ny viden og bedre patientbehandling. Region Hovedstaden anvender personoplysninger i forbindelse med forskningsaktiviteter.

Behandling af personoplysninger i forbindelse med forskning er reguleret i bl.a. sundhedsloven, komitéloven, lægemiddelloven, lov om medicinsk udstyr, databeskyttelseslovens §§ 10 og 11 og databeskyttelsesforordningens artikel 6, stk. 1, litra a, og artikel 9, stk. 2, litra a.”

Region Hovedstaden har oplyst, at når patienter modtager en digital indkaldelse fra regionen, følger det af retningslinjen, at der som minimum til nyhenviste patienter skal vedlægges et forberedelsesbilag. Det er hospitalsafdelingerne, som sørger for at vedlægge forberedelsesbilaget, når de sender en indkaldelse til en patient.

Region Hovedstaden har fremsendt et eksempel på et forberedelsesbilag fra november 2020, som fremstår som en oversigt over patientrettigheder, hvoraf bl.a. følgende fremgår:

”Anvendelse af blod- og vævsprøver til forskning

Rester af blod- og vævsprøver kan blive brugt til forskning. Du har ret til at beslutte, at dine blod- og vævsprøver kun må anvendes til behandling af dig selv og til formål, der umiddelbart er knyttet til din behandling. Læs om dine rettigheder på www.regionh.dk/patientrettigheder.”

Ifølge Region Hovedstaden varierer indholdet af forberedelsesbilaget afhængigt af hospitalsafdelingen. Dog er der nogle obligatoriske fraser/afsnit i forberedelsesbilaget, som afdelingerne altid skal sørge for at indsætte i forberedelsesbilaget. Én af de obligatoriske fraser er ”læs om dine rettigheder”, som linker til www.regionh.dk/patientrettigheder.

På denne hjemmeside fremgår et afsnit om ”anvendelse af væv”, som nærmere forklarer, at overskydende restmateriale fra diagnostiske prøver bliver gemt i Region Hovedstadens biobank til fremtidig forskning.

I perioden 2016-2020 blev patienterne således ved en skriftlig henvisning til regionens hjemmeside oplyst om opbevaringen af overskydende restmateriale fra diagnostiske prøver i Region Hovedstadens biobank til fremtidig forskning. Fra november 2020 blev oplysning herom forsynet ved en opdatering af forberedelsesbilaget med en obligatorisk frase om ”anvendelse af blod- og vævsprøver til forskning”, som er citeret ovenfor. Et af formålene med den nye frase var at tydeliggøre, at restmateriale fra diagnostiske prøver kan blive brugt til forskning.

Endelig har Region Hovedstaden oplyst, at regionen på baggrund af nærværende sag har igangsat et arbejde med at opdatere regionens standardprodukter for håndtering af oplysningspligten ved patientbehandling, således at det fremadrettet vil fremgå tydeligere, at overskydende restmateriale bliver gemt i Region Hovedstadens biobank til fremtidig forskning.

3. Begrundelse for Datatilsynets afgørelse

3.1. Det følger af databeskyttelsesforordningens artikel 13, at hvis personoplysninger om en registreret indsamles hos den registrerede, giver den dataansvarlige på det tidspunkt, hvor personoplysningerne indsamles, den registrerede en række oplysninger om behandlingen.

Det fremgår af databeskyttelsesforordningens artikel 12, stk. 1, at den dataansvarlige træffer passende foranstaltninger til at give enhver oplysning som omhandlet i bl.a. artikel 13 til den registrerede i en kortfattet, gennemsigtig, letforståelig og lettilgængelig form og i et klart og enkelt sprog, navnlig når oplysninger specifikt er rettet mod et barn. Oplysningerne gives skriftligt eller med andre midler, herunder, hvis det er hensigtsmæssigt, elektronisk.

Når databeskyttelsesforordningens artikel 12, stk. 1, angiver, at oplysningerne skal gives i en ”gennemsigtig” form, indebærer dette, at den registrerede på forhånd skal kunne konstatere rækkevidden og konsekvenserne af behandlingen, og at det ikke senere skal komme bag på den registrerede, hvordan dennes personoplysninger er blevet brugt.[2]

Hvis en dataansvarlig er bekendt med, at dennes tjenester er tilgængelige for sårbare medlemmer af samfundet, herunder personer som har svært ved at tilgå information, skal disse registreredes sårbarhed endvidere indgå i den dataansvarliges vurdering af, hvordan man overholder kravet om gennemsigtighed i relation til disse registrerede. [3]

3.2. Datatilsynet må på baggrund af det oplyste lægge til grund, at det er generel praksis hos Region Hovedstaden, at overskydende biologisk materiale fra patientbehandling opbevares i regionens biobank med henblik på benyttelse af materialet til fremtidig forskning.

Region Hovedstaden har anført, at regionen opfylder oplysningspligten ved at henvise og linke til regionens privatlivspolitik i en række standardprodukter, som patienter modtager. Privatlivspolitikken indeholder et afsnit om behandling af oplysningerne til forskningsformål. Når nyhenviste patienter modtager en digital indkaldelse fra Region Hovedstaden, modtager de desuden et forberedelsesbilag med oplysninger om patientrettigheder. I forberedelsesbilaget henvises også til persondatapolitikken, og siden november 2020 indeholder bilaget et afsnit om, at regionen anvender blod- og vævsprøver til forskning, ligesom der er et link til regionens hjemmeside, hvor man kan læse mere.

Regionens privatlivspolitik har imidlertid en generel karakter og retter sig til patienter, ansatte og borgere, ligesom teksten om forskning alene oplyser, at regionen anvender personoplysninger i forbindelse med forskningsaktiviteter uden nærmere at oplyse om konteksten for behandlingen.

Det kan på den baggrund efter Datatilsynets opfattelse ikke antages at stå klart for en patient, at afsnittet om forskning henvender sig til vedkommende, herunder at afsnittet retter sig til alle patienter og ikke kun patienter, som f.eks. har meldt sig til et forskningsforsøg og dermed er klar over, at oplysninger behandles til dette formål.

Samlet finder Datatilsynet herefter, at Region Hovedstaden – i forbindelse med regionens behandling af oplysninger til brug for (fremtidig) forskning – ikke har givet oplysningerne efter artikel 13 i en gennemsigtig og letforståelig form, jf. artikel 12, stk. 1. Dette giver tilsynet anledning til at udtale kritik. 

Datatilsynet henstiller, at Region Hovedstaden overvejer, hvordan regionen fremadrettet vil opfylde sin oplysningspligt i den henseende.

[1] Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse).

^[2] Article 29 Working Party, Guidelines on transparency under Regulation 2016/679, WP 260 betragtning 10.

^[3] Article 29 Working Party, Guidelines on transparency under Regulation 2016/679, WP 260 betragtning 16.