1. Datatilsynet har modtaget Region Hovedstadens (Dansk Multipel Sclerose Centers) anmodning om tilladelse efter databeskyttelseslovens § 10, stk. 3, til videregivelse af personoplysninger fra en statistisk eller videnskabelig undersøgelse benævnt ”Inflammatory vaginitis associated with long-term rituximab treatment in a patient with multiple sclerosis.”

Dansk Multipel Sclerose Center har oplyst, at videregivelsen sker med henblik på offentliggørelse i tidsskriftet BMJ Case Reports, hvorved videregivelsen er omfattet af databeskyttelseslovens § 10, stk. 3, nr. 3.

Datatilsynet bemærker, at idet BMJ Case Reports er hjemmehørende i Storbritannien, er der tale om videregivelse til behandling uden for databeskyttelsesforordningens territoriale anvendelsesområde, jf. databeskyttelsesforordningens artikel 3, hvorfor videregivelsen tillige forudsætter en tilladelse efter databeskyttelseslovens § 10, stk. 3, nr. 1.

2. Dansk Multipel Sclerose Center har oplyst, at der i forbindelse med publiceringen af den videnskabelige undersøgelse ønskes offentliggjort oplysninger om en enkelt patient. Der er tale om oplysninger om patientens alder, køn, diagnose og medicinbehandling. Der er endvidere tale om oplysninger om blodprøver, podnings- og biopsisvar vedrørende patienten.

Datatilsynet har på baggrund af oplysningerne fra Dansk Multipel Sclerose Center forstået det sådan, at oplysningerne om patienten videregives i pseudonymiseret form.

3. Datatilsynet meddeler hermed tilladelse til videregivelse, jf. databeskyttelseslovens § 10, stk. 3, nr. 1 og 3.

For så vidt angår tilladelse til videregivelse efter § 10, stk. 3, nr. 1, har Datatilsynet lagt vægt på, at EU-Kommissionen den 28. juni 2021 ved udstedelsen af en tilstrækkelighedsafgørelse har godkendt Storbritannien som et sikkert tredjeland i relation til databeskyttelsesforordningen. Tilstrækkelighedsafgørelsen betyder, at der kan overføres personoplysninger til Storbritannien uden et overførselsgrundlag.

For så vidt angår tilladelse til videregivelse efter § 10, stk. 3, nr. 3, har Datatilsynet lagt vægt på, at artiklerne i BMJ Case Reports fagfællebedømmes inden udgivelse, ligesom BMJ Case Reports fremgik af den seneste version af BFI-listen på Uddannelses- og Forskningsministeriets hjemmeside på niveau 1 (normalt niveau).

Det bemærkes, at Datatilsynet sædvanligvis vil være tilbageholdende med at meddele tilladelse til videregivelse med henblik på offentliggørelse af oplysninger, der alene vedrører en enkelt eller et fåtal af personer.

I denne sag har tilsynet imidlertid lagt vægt på, at der er tale om at oplysningerne videregives i pseudonymiseret form, herunder at antallet af sclerosepatienter, der modtager den pågældende medicin, efter det oplyse er ca. 1.700 personer.

Herudover har tilsynet lagt vægt på, at den person, artiklen er baseret på, efter det oplyste er indforstået med, at oplysningerne offentliggøres, og at vedkommende får mulighed for at læse artiklen inden offentliggørelse.

3. Tilladelsen gives på følgende vilkår, som Dansk Multipel Sclerose Center har ansvaret for at overholde:

1. Der må kun videregives personoplysninger, når videregivelse er nødvendig som led i viderebehandling til statistiske eller videnskabelige formål. Oplysningerne må ikke senere behandles i andet end videnskabeligt eller statistisk øjemed. Hvis Dansk Multipel Sclerose Center over for den registrerede har oplyst, at oplysningerne ikke vil blive videregivet, må der ikke ske videregivelse.

2. Videregivelse af personoplysninger skal ske i pseudonymiseret form, således at oplysningerne ikke er umiddelbart personhenførbare for den modtagende dataansvarlige, jf. dog vilkår 3.

3. Hvis det er strengt nødvendigt for udførelsen af den statistiske eller videnskabelige undersøgelse, at den enkelte registrerede kan identificeres, kan supplerende oplysninger videregives, således at personoplysningerne kan henføres til bestemte fysiske personer. De supplerende oplysninger skal i videst muligt omfang videregives adskilt fra personoplysningerne til en autoriseret person hos den modtagende dataansvarlige, jf. vilkår 8.

4. Hvis personoplysningerne videregives ved overførsel over internettet eller andet eksternt netværk, skal den afgivende dataansvarlige træffe passende sikkerhedsforanstaltninger. Ved transmission af fortrolige og følsomme personoplysninger over internettet eller eksterne netværk skal den dataansvarlige som minimum anvende passende kryptering.

5. Der skal i øvrigt i overensstemmelse med databeskyttelsesforordningens artikel 32 gennemføres passende tekniske og organisatoriske foranstaltninger under hensyntagen til det aktuelle tekniske niveau, implementeringsomkostninger og den pågældende behandlings karakter, omfang, sammenhæng og formål samt risiciene af varierende sandsynlighed og alvor for fysiske personers rettigheder og frihedsrettigheder med henblik på at sikre et sikkerhedsniveau, der passer til disse risici.

6. Det skal inden videregivelsen påses, at personoplysningerne udelukkende videreanvendes til statistiske eller videnskabelige undersøgelser. Endvidere skal det påses, at den modtagende dataansvarlige overholder vilkår 8-13.

7. Fra tidspunktet for videregivelsen og efterfølgende skal det kunne dokumenteres, at vilkår 6 er overholdt. Dokumentation skal ske ved indhentelse af en skriftligt begrundet erklæring eller lignende fra den modtagende dataansvarlige.

Vilkår vedrørende den modtagende dataansvarlige

8. Videregivelse skal ske til personer, som af den modtagende dataansvarlige er autoriseret til at have adgang til de pågældende personoplysninger. Der må kun autoriseres personer, der er beskæftiget med personoplysningerne. De enkelte personer må ikke autoriseres til anvendelser, som de ikke har behov for.

9. Ved videregivelse der sker med henblik på offentliggørelse i et anerkendt videnskabeligt tidsskrift el.lign. – eksempelvis med henblik på udførelse af en fagfællebedømmelse – må personoplysninger hos den modtagende dataansvarlige alene gøres tilgængelig for personer, der har et konkret og sagligt formål med behandlingen heraf.

10. Der skal gives den fornødne instruktion til de medarbejdere, som har adgang til personoplysningerne. Medarbejderne skal i den forbindelse gøres bekendt med, at personoplysningerne alene må behandles med henblik på udførelse af statistiske eller videnskabelige undersøgelser, og at personoplysningerne ikke senere må behandles i andet end videnskabeligt eller statistisk øjemed.

11. Der må ikke behandles flere oplysninger, end hvad der er nødvendigt af hensyn til udførelsen af den statistiske eller videnskabelige undersøgelse.

12. Der skal i øvrigt i overensstemmelse med databeskyttelsesforordningens artikel 32 gennemføres passende tekniske og organisatoriske foranstaltninger under hensyntagen til det aktuelle tekniske niveau, implementeringsomkostninger og den pågældende behandlings karakter, omfang, sammenhæng og formål samt risiciene af varierende sandsynlighed og alvor for fysiske personers rettigheder og frihedsrettigheder med henblik på at sikre et sikkerhedsniveau, der passer til disse risici.

13. Personoplysninger skal ved undersøgelsens afslutning slettes, anonymiseres, tilintetgøres eller tilbageleveres, således at det efterfølgende ikke er muligt at identificere fysiske personer ud fra oplysningerne eller i kombination med andre oplysninger.

Ovenstående vilkår er supplerende og præciserende i forhold til reglerne i databeskyttelsesforordningen og databeskyttelsesloven. Det skal understreges, at databeskyttelsesforordningen og databeskyttelsesloven således finder anvendelse i det omfang, at der er tale om forhold, som ikke er reguleret i de ovenstående vilkår.