Fredag bragte flere medier artikler om forskeres muligheder for at bruge en bestemt paragraf i databeskyttelsesloven (§ 10) til at bruge registerdata i deres forskning. Det fremgår af artiklerne i pressen, at man siden 2021 har kunnet bruge denne bestemmelse til at få lov til at anvende oplysningerne, men at Datatilsynet i 2023 har foretaget en kovending og nu blokerer for denne type forskning - og at der dermed er en lang række vigtige forskningsprojekter, der ikke længere kan fortsætte.
Der er dog flere misforståelser i sagen. Den primære misforståelse er, at Datatilsynets vurdering af den konkrete bestemmelse helt generelt skulle stå i vejen for forskning. Tilsynet har kun udtalt sig om brugen af § 10 i de omhandlede tilfælde, men der er ikke noget i vejen for, at forskningen kan ske på et andet juridisk grundlag.
Datatilsynet vil her forsøge at forklare både juraen, historikken og de muligheder, der er for fortsat at forske ved hjælp af disse registerdata.
Indledningsvis skal det dog slås fast, at Datatilsynet ikke har noget ønske om at stå i vejen for mulighederne for at forske i Danmark. Vi anerkender og støtter den vigtige forskning, der bliver foretaget. Der er meget vide rammer for at bruge data i forskning i Danmark. Det er ikke noget, Datatilsynet har bestemt, men det er politisk besluttet og udmøntet i databeskyttelsesloven og i sundhedslovgivningen - og disse politiske beslutninger danner udgangspunktet for Datatilsynets administration af reglerne om databeskyttelse.
Hvad er § 10?
Databeskyttelseslovens § 10 er en opsamlingsbestemmelse, der udgør en såkaldt hjemmel for den behandling af personoplysninger, der finder sted i rigtig meget af den forskning, der bliver lavet i Danmark. I § 10 står der blandt andet:
"Oplysninger som nævnt i databeskyttelsesforordningens artikel 9, stk. 1, og artikel 10 må behandles, hvis dette alene sker med henblik på at udføre statistiske eller videnskabelige undersøgelser af væsentlig samfundsmæssig betydning, og hvis behandlingen er nødvendig af hensyn til udførelsen af undersøgelserne."
Sagt på jævnt dansk betyder det, at hvis man forsker, må man gerne behandle følsomme oplysninger (eksempelvis helbredsoplysninger) - som der ellers som udgangspunkt er et forbud mod at behandle - hvis det kun sker som led i statistiske eller videnskabelige undersøgelser. Det er dog langt fra den eneste undtagelse til reglen om, at man ikke må behandle følsomme personoplysninger (læs evt. mere her)
Bestemmelsen giver en bred adgang til forskning, idet man ikke behøver indhente borgernes samtykke. Man kan sige, at for at veje op for, at borgerne kan blive gjort til genstand for så meget forskning uden deres samtykke, har lovgiverne indsat visse garantier i § 10, herunder at den brede adgang til forskning alene omfatter egentlig statistisk eller videnskabelig forskning og ikke alle mulige beslægtede formål.
De fleste borgere vil formentlig gerne have, at deres oplysninger indgår i forskning, og Lægemiddelstyrelsens behandling af bivirkningsindberetninger vil næppe bekymre mange af de berørte borgere. Men hvis Datatilsynet åbner op for dette formål ved at fortolke bestemmelsen mere vidtgående, er der en risiko for, at garantien juridisk set "udhules" og dermed kan bruges af andre organisationer til andre formål, som ikke er i borgernes interesse.
Hvad har Datatilsynet sagt hvornår?
- Tilbage i 2008 vurderede Datatilsynet - efter at sagen havde været forelagt for Datarådet, der som en del af tilsynet tager stilling i principelle sager - at § 10 ikke kan bruges som hjemmel til behandling af personoplysninger for Lægemiddelstyrelsen, fordi det ikke alene sker i statistisk eller videnskabeligt øjemed. Det har været gældende praksis siden da.
- I 2021 svarede Datatilsynet imidlertid kortfattet på en mail fra Sundhedsministeriet, der spurgte ind til brugen af § 10, at tilsynet "umiddelbart" vurderede, at det godt ville kunne lade sig gøre at bruge denne bestemmelse i det konkrete tilfælde, som vedrørte coronavacciner.
- I 2023 blev Datatilsynet opmærksom på, at dette svar var blevet udlagt sådan, at § 10 helt generelt kunne bruges som hjemmel til denne type forskning. Derfor skrev Datatilsynet et brev som svar på en henvendelse fra Indenrigs- og Sundhedsministeriet, hvor det blev gjort klart, at dette ikke er tilfældet. Læs Datatilsynets brev her. Denne vurdering står Datatilsynet fuldt og fast ved - og det er altså netop ikke ny praksis.
Hvad er forskernes og sundhedsmyndighedernes muligheder?
På baggrund af mediehistorierne og misforståelserne vil Datatilsynet inden for den kommende uge kontakte Indenrigs- og Sundhedsministeriet med henblik på at gøre det klart, at Datatilsynet alene har udtalt sig om brugen af § 10, og at der efter tilsynets opfattelse vil kunne etableres det fornødne retsgrundlag for at fortsætte forskningen, hvis et sådant grundlag ikke allerede findes i den gældende lovgivning.
Opdatering 23. maj 2024: Nu kan du læse brevet, som Datatilsynet efterfølgende har sendt til Indenrigs- og Sundhedsministeriet.