Høringssvar: Forslag til forskrift om løsning for tilgjengeliggjøring av helsedata (Helseanalyseplattformen og Helsedataservice)

Generelle kommentarer

Vi takker for muligheten til å komme med høringsinnspill.

Kreftregisteret er involvert i mange aspekter i Helseanalyseplattformen og Helsedataservice, og har hatt tett samarbeid med Direktoratet for e-helse de siste årene.

Kreftregisteret ser gevinsten i å etablere en velfungerende Helseanalyseplattform, med sentraliserte funksjoner i Helsedataservice for blant annet søknadshåndtering og tilgjengeliggjøring av data på tvers av registre. Det er imidlertid helt vesentlig at forskriften ikke er til hinder for at Kreftregisteret (og andre helseregistre) kan oppnå sine formål, herunder at forskriften ikke medfører at det legges restriksjoner på registerforvalterne som forringer eller vanskeliggjør opprettholdelse av god datakvalitet i registrene.

Kreftregisteret mener at dersom forskriften blir stående slik det er foreslått i høringsutkastet, er det noen punkter som vil gi dårligere kvalitet i registrene og for brukerne av dataene. Det gjelder særlig den foreslåtte reguleringen av registerforvalterens adgang til tilgjengeliggjøring og bruk av egne data (pkt. 10.3.2), spesifikt det kunstige skillet mellom bruk av helsedata til «andre formål» versus «forskning» (pkt. 16). Vi mener restriksjonene som foreslås for registerforvalternes muligheter til bruk av egne data, vil ha utilsiktede, og svært negative, konsekvenser for kvaliteten på dataene.

I tillegg er vi bekymret for at kostnadene ved bruken av tjenestene synes å kunne bli uforholdsmessig mye høyere enn i dag, hvilket vi frykter vil medføre redusert utnyttelse av helsedataene, stikk i strid med hva som er den uttalte intensjonen.

Kreftregisteret vil også understreke betydningen av at behandlingsansvaret helt entydig blir plassert hos direktoratet (pkt. 8.2). Nærmere redegjørelse for våre synspunkter, samt våre innspill til endringer i forskriften, følger nedenfor under de spesifikke punktene som refererer seg til høringsnotatet.

Spesifikke innspill

8.2. Rekkevidden av dataansvaret i løsningen (side 48) og 15.2 Skytjenester (side 87) og §5

Kreftregisteret støtter departementet i den foreslåtte ansvarsfordelingen generelt, men vil påpeke to steder i § 5, hvor ansvarsforholdet muligens bør gjøres enda tydeligere. Det påhviler direktoratet et betydelig ansvar forbundet med behandling og tilgjengeliggjøring av norske helsedata som omfattes av løsningen, noe som også innebærer at det stilles særskilte krav til kompetanse når det gjelder de vurderinger som gjøres, med påfølgende konsekvenser for personvernet dersom behandlingen og tilgjengeliggjøring ikke skjer i tråd med vilkårene i lovgivningen. Det bør derfor ikke være rom for tvil om hvor ansvaret skal plasseres for de ulike deler av behandlingen.

Det fremgår av § 5 andre ledd at direktoratet kan inngå avtaler med databehandlere om behandling av opplysningene på vegne av direktoratet. Vi mener det bør gå tydelig frem at direktoratet ikke kan fraskrive seg ansvar for de valgte tekniske løsningene ved å legge ansvaret for vurdering av informasjonssikkerheten over på databehandlere. Det følger av personvernforordningen art. 28 nr. 1 at den dataansvarlige skal «bare bruke databehandlere som gir tilstrekkelige garantier for at de vil gjennomføre egnede tekniske og organisatoriske tiltak som sikrer at behandlingen oppfyller kravene i denne forordning og vern av den registrertes rettigheter». I dette tilfellet skal den tekniske løsningen utvikles av en skyleverandør som er underlagt amerikansk masseovervåkingslovverk. Det kan derfor stilles spørsmål til hvorvidt dette valget av databehandler er forenlig med kravet som retter seg mot dataansvarlig etter personvernforordningen art. 28, jfr også art. 44. Vår vurdering er at det da blir desto viktigere å synliggjøre direktoratets ansvar. Spesifikt må det ikke sås tvil om at ansvaret for en eventuell videreoverføring av norske helsedata fra databehandler i tredjeland som behandler data på vegne av direktoratet, herunder videreoverføring til amerikanske myndigheter iht. amerikansk masseovervåkingslovverk, som resultat av behandling av opplysninger på direktoratets valgte løsning, faller på direktoratet, og ikke kan skyves over på databehandler.

Kreftregisteret foreslår at departementet legger inn en presisering i § 5 annet ledd for å tydeliggjøre direktoratets ansvar også i de tilfellene det benyttes databehandler.

Departementet uttaler at dataansvaret går over på brukeren når direktoratet har tilgjengeliggjort opplysningene. Det fremgår av § 5 siste ledd at «Brukerne er dataanvarlige for sin egen behandling av opplysningene.» Det er imidlertid ikke klart hvor langt brukerens forpliktelser går når det gjelder å kontrollere om dataene som mottas, er nødvendige for formålet, herunder om dataminimeringsprinsippet eller andre personvernhensyn er ivaretatt. Det presiseres i høringsnotatet at direktoratet fortsatt vil ha et selvstendig ansvar for informasjonssikkerhet i den tekniske løsningen i tråd med helseregisterloven § 21 og personvernforordningen art. 32. Dette innebærer at direktoratet også vil være ansvarlig for bl.a. pseudonymisering og kryptering av personopplysninger.

Kreftregisteret mener det er viktig at ansvar for eventuelle brudd på vilkårene for tilgjengeliggjøring ikke overføres til bruker. Vi er i tvil om dette er tydelig nok i forskriften.

9.2 Beslutning om inklusjon av registre på dataplattformen (side 52) og § 6

Kreftregisteret mener at det bør tydeliggjøres i forskriften at det er registerforvalter som har best kunnskap om innholdet i registeret, og at det således er registerforvalter som er rett instans til å vurdere hvilke helsedata (dataprodukter) som kan overføres til plattformen. Denne vurderingen kan eventuelt gjøres i samråd med Helsedataservice, men den endelige vurderingen bør ligge hos registerforvalteren.

Kreftregisteret foreslår at det legges inn en presisering i § 6, siste ledd, hvor det fremgår klart at registerforvalters beslutning om hva som kan overføres, ikke kan overprøves av direktoratet.

9.3.3 Befolkningsbaserte helseundersøkelser (side 56)

Departementet skriver: «Departementet ber om høringsinstansenes syn på om flere befolkningsbaserte helseundersøkelser bør inkluderes i løsningen nå.»

Kreftregisteret mener det er positivt om så mange som mulig av slike datasett legges på Helseanalyseplattformen. Det vil gi raskere og enklere tilgang til befolkningsbaserte data om forhold av betydning for aktuelle helseutfall. Dataansvarlig for den aktuelle helseundersøkelsen må avgjøre når og hva som kan overføres. Samtidig mener vi at de som forvalter undersøkelsene i dag, må sikres bruk av egne data til alle aktuelle formål uten å måtte gå via Helseanalyseplattformen, slik at den viktige kvalitetssikringen fremdeles vil finne sted (se kommentarer til punktene 10.3.2 og 16 nedenfor).

Andre datakilder

Sosioøkonomiske variabler fra Statistisk Sentralbyrå (SSB) bør etter vår vurdering inkluderes i løsningen. Samtidig er det viktig å sikre at slike variabler holdes på et såpass overordnet nivå at det ikke medfører for høy risiko for bakveisidentifisering.

10.3.1 Hvilke opplysninger (side 62) og § 7

Departementet foreslår at Helsedataservice får en rådføringsplikt med registerforvalterne (§ 7 tredje ledd). Vi støtter Departementet i dette. Det er registerforvalter som har best kunnskap om opplysningene i registeret.

Departementet skriver: «Departementet ber om høringsinstansenes vurdering av om direktoratet bør få myndighet eller en koordinerende rolle til å fatte vedtak om tilgjengeliggjøring av opplysninger som ikke omfattes av løsningen, når opplysningene skal sammenstilles med opplysninger i dataprodukter som er overført til plattformen.»

Kreftregisteret er enig i at det kan være hensiktsmessig at Helsedataservice har vedtaksmyndighet for data fra Kreftregisteret innsamlet med hjemmel i kreftregisterforskriften, selv om dataene ikke er overført til Helseanalyseplattformen – så fremt det legges inn en vesentlig begrensning i den foreslåtte bestemmelsen.

En samlet vedtaksmyndighet er i tråd med målsettingen om sentralisering og en mer effektiv tilgang til data for brukerne. Derfor mener vi det er naturlig at Helsedataservice også fatter vedtak om den delen av søknaden som omfatter helsedata, som ikke er overført til Helseanalyseplattformen. Derimot er det registerforvalter som er nærmest til å vurdere om det er forhold av betydning for informasjonssikkerheten, etiske betenkeligheter eller andre relevante hindringer for å tilgjengeliggjøre data fra registeret til bruker. Eksempler på slike hindringer kan være at dataene ikke er kvalitetssikret, og dermed ikke klare for overføring i teknisk forstand. Alternativt kan det være utfordringer rundt dataminimering og graden av bakveisidentifisering for de spesifikke dataene forespørselen gjelder, for eksempel at søker har etterspurt flere data enn det som er nødvendig for å oppfylle formålet (jfr. helseregisterloven § 19 a om at det ikke skal tilgjengeliggjøres flere opplysninger enn nødvendig for formålet, og at data bare kan tilgjengeliggjøres dersom det er ubetenkelig ut fra etiske, medisinske og helsefaglige hensyn). Vurderingen om overføringen tilfredsstiller denne lovparagrafen kan være vanskelig for Helsedataservice å gjøre ettersom det kan kreve detaljert kunnskap om dataene.

Kreftregisteret foreslår derfor at § 7 revideres slik at det kommer klart frem at dataansvarlig for det aktuelle registeret midlertidig kan stanse en tilgjengeliggjøring av helsedata, dersom dataansvarlig for registeret vurderer at vilkårene for tilgjengeliggjøring etter helseregisterloven §§ 19 til 19 c ikke er tilstede, inntil forholdet er avklart.

10.3.2 Hvilke formål (side 64) og § 20

Departementet uttaler: «Registerforvaltere for helseregistre som inngår i løsningen, skal ikke kunne fatte vedtak om tilgjengeliggjøring for bruk i forskning.» Videre uttaler departementet: «Det bør imidlertid ikke være nødvendig å gå via direktoratet dersom registerforvalteren eller offentlige virksomheter skal bruke dataene for å ivareta sine oppgaver i henhold til lov, forskrift eller instruks. Departementet foreslår derfor at registerforvalteren i disse tilfellene skal kunne bruke eller tilgjengeliggjøre opplysningene uavhengig av om de er overført til løsningen og uten å søke om tilgjengeliggjøring fra Helsedataservice.»

Kreftregisteret mener denne formuleringen må presiseres. Forskning er ikke et entydig begrep, og det er heller ikke definert i høringsnotatet. I praksis kan det være vanskelig å trekke klare skillelinjer mellom forskning og annen aktivitet registerforvalterne driver.

Om det vanskelige skillet mellom forskning og andre registeroppgaver – eksempel fra Kreftregisteret

Et av formålene med Kreftregisteret er å følge med på kreftsykdommers utbredning i landet og belyse endringer over tid. For å kunne ivareta denne oppgaven, driver Kreftregisteret utstrakt kvalitetssikring og monitorering i egen regi. Grenseoppgangen til forskning (som også er et spesifisert formål i kreftregisterforskriften) kan mange ganger være uklar fordi avansert forskningsmetodikk brukes både i kvalitetssikringsarbeid og for å kunne evaluere endringer over tid i kreftforekomst og overlevelse. Å legge en kunstig begrensning på hva data kan brukes til, vil skape utfordringer både for kvalitetssikring av kreftdataene og mulighetene for adekvat overvåking av kreftbildet over tid. Dette vil igjen kunne hindre at formålene med Kreftregisteret nås, og medføre dårligere kvalitet på kreftdataene.

Viktig kvalitetssikring av kreftdata kan bli skadelidende

Egen forskning er en viktig del av kvalitetssikringen av Kreftregisterets data. Mye kvalitetssikring utføres i konkrete helseforskningsprosjekter med eget behandlingsgrunnlag, og med etisk forhåndsgodkjenning. Å kreve at Kreftregisterets egne forskere først skal kvalitetssikre kreftregisterdata og deretter søke, (og betale) Helsedataservice for å få tilgjengeliggjort de samme dataene som de har kvalitetssikret, vil bli en utfordring. Mye av denne kvalitetssikringen skjer som ledd i Kreftregisterets virksomhet uten ekstern finansiering for å kjøpe (egne) data. En konsekvens kan bli at denne viktige kvalitetssikringen vil bli skadelidende eller opphøre, og at kvaliteten på helsedata i Kreftregisteret blir dårligere.

Mindre bruk av helsedata i klinisk forskning

For kliniske forskningsprosjekter på kvalitetsregisterdata er det ofte mindre kliniske prosjekter det dreier seg om, og det vil ofte dreie seg om utleveringer som er såpass komplekse at Helsedataservice ville måtte oversende saken til registerforvalterne til vurdering. Forslaget til § 20 vil derfor gi økt byråkrati, forsinke prosessen, og være sterkt fordyrende. Dette kan medføre redusert klinisk forskning på kreftdata og dermed dårligere kvalitet på dataene.

Norske data kan falle ut av internasjonal kreftovervåking

En viktig del av overvåkingen av kreftsykdom over tid skjer i form av store internasjonale studier. I blant er disse basert på aggregerte tall, i blant kreves mer detaljerte helsedata på individnivå (pseduonymiserte data). Begrensninger på hva Kreftregisteret kan tilgjengeliggjøre direkte til internasjonale monitorerings- og forskningsmiljøer, kan få alvorlige konsekvenser mht. Kreftregisterets oppgave når det gjelder å vurdere kreftutviklingen i Norge over tid sammenlignet med andre land. Slike store studier, for eksempel utført i regi av Verdens helseorganisasjon (ved International Agency for Research on Cancer) eller EU kommisjonens Joint Research Centre, har ikke finansiering til å «kjøpe» nasjonale datasett. Det er heller ikke infrastruktur i slike internasjonale prosjekter til å søke hvert land om tilgang til data i hvert lands spesifikke infrastruktur.

Dersom norske data ikke inkluderes i disse internasjonale oversiktene, så vil Norge falle ut av essensiell internasjonal monitorering av kreftbildet over tid og evaluering av norsk kreftbehandling, noe som igjen vil være til hinder for at formålet med Kreftregisteret nås. Kreftregisteret bør derfor fremdeles også kunne tilgjengeliggjøre data direkte, uten å gå veien om Helsedataservice, til slike «forskningsprosjekter» og til langsiktige monitoreringsstudier.

Kreftregisteret mener at det er i tråd med lovgivers intensjon, og til samfunnets og enkeltindividets beste, at både registerforvalter og forvalter av helseundersøkelser kan kvalitetssikre egne data og produsere riktig statistikk, altså bruke innsamlede data til egne formål, herunder forskningsformål, uten å gå veien om Helsedataservice. I tillegg må register- og helseundersøkelsesforvalter kunne tilgjengeliggjøre data for andre på forespørsel, uansett formål (se også pkt. 16.4 og 16.5 nedenfor).

Kreftregisteret mener det foreslåtte skillet om hvilke formål dataansvarlig kan bruke data i eget register til, sterkt vil begrense registerforvalternes mulighet til å ivareta de lovpålagte oppgavene på en forsvarlig måte til beste for samfunnet og den enkelte. Kreftregisteret mener derfor at begrensningene i § 20 annet ledd (både første og andre punktum) må utgå.

Statistikk, helseanalyse, kvalitetsforbedring, planlegging, styring og beredskap (side 65)

Departementet åpner for parallellutleveringer innenfor statistikk, helseanalyse, kvalitetsforbedring, styring og beredskap, men forklarer heller ikke her hvordan dette skal skilles mot forskningsformål. En rekke statistiske analyser er i realiteten forskning og en rekke forskningsprosjekter har i realiteten også viktige komponenter av kvalitetsforbedring.

Kreftregisteret mener det ikke må lages skillelinjer eller forbud mot såkalt parallellutlevering av opplysninger som er overført til plattformen, og at § 20 annet ledd derfor må utgå i sin helhet.

10.3.3 Overgangsregler og § 21

Departementet foreslår at pågående prosjekter som mottar oppdaterte data (repeterende sammenstillinger) kun skal ha virkning i en periode på to år. Deretter må bruker sende ny søknad til direktoratet. Tilgjengeliggjøringen skal da revurderes. Det virker, etter vår vurdering, unødvendig tungvint at en fornyet behandling av søknaden skal skje etter to år. Enkelte pågående prosjekter har hatt årlig oppdatering i en årrekke, og dette er standard innarbeidet rutine hos registerforvalterne av de lovbestemte helseregistrene. Kreftregisteret mener dette kun bør være nødvendig dersom det er vesentlige endringer i prosjektets art, omfang, sammenheng og formål slik at ny vurdering av personvernkonsekvenser (DPIA) er påkrevd.

Kreftregisteret foreslår at det ikke legges inn en slik tidsbegrensning i § 21, men at behovet for en ny søknad heller knyttes opp mot de tilfeller som begrunner ny DPIA.

10.4 Vurdering av vilkårene for tilgjengeliggjøring (side 66-68) (og § 5 og § 7)

Dataminimering

Det foreslås at Helsedataservice skal vurdere om vilkårene etter helseregisterloven er oppfylt, herunder prinsippet om dataminimering, altså prosessen som medfører at det ikke tilgjengeliggjøres flere opplysninger enn det som er nødvendig for det aktuelle formålet. Kreftregisteret er enig i at ansvaret må ligge til Helsedataservice (direktoratet), ettersom de både har dataansvaret for tilgjengeliggjøringen av data, og vil ha tilgang til dataprodukter på tvers av registerforvaltere og resultatet av sammenstillinger.

Vi er også enige i at Helsedataservice må rådføre seg med registerforvalterne det gjelder dersom tilgjengeliggjøringen krever særskilt kompetanse om opplysninger i et helseregister. Vi mener at dette vil gjelde de aller fleste utleveringer om detaljerte data. Dette er fordi det kreves svært høy faglig kompetanse når det gjelder både forståelse av innhold av data, medisinske forhold og vurdering av søknader, for å kunne gjøre gode tiltak for å sikre at vilkårene for tilgjengeliggjøring er tilstede, herunder dataminimering. Kreftregisteret mener at Helsedataservice ikke har de samme forutsetningene for å kunne opparbeide seg like god kompetanse på innholdet i et register (eller dataproduktene utarbeidet av et register), som registerforvalter, ettersom Helsedataservice ikke er involvert i den daglige drift av registeret. Det er derfor uklart hvordan Helsedataservice i praksis skal kunne utføre dataminimeringsarbeidet, og samtidig sikre at personvernet for de registrerte er tilstrekkelig ivaretatt.

Kreftregisteret viser til kommentaren under punkt 10.3.1 over.

Tilgjengeliggjøring fra dataplattformen (§ 8)

Vurderingen av om hvorvidt et datasett er tilstrekkelig anonymt, kan være svært krevende. Dette er ikke problematisert i høringsnotatet. Vår erfaring er at bortsett fra aggregerte tabellresultater, er de færreste tilgjengeliggjøringer av helsedata, å anse som anonyme, jf. det strenge vilkåret i personvernforordningen fortalepkt. 26. Helsedata som tilgjengeliggjøres fra plattformen, vil derfor i de aller fleste tilfeller være pseudonymiserte, og ikke anonyme. Dette også i tråd med helseregisterloven § 19a annet ledd, og kravet i personvernforordningen.

Kreftregisteret foreslår derfor at departementet vurderer å endre ordlyden i § 8 slik at det tydeliggjøres at tilgjengeliggjøring for brukeren kan skje anonymt eller som pseudonymiserte opplysninger dersom det er nødvendig for å oppnå formålet.

Tilgjengeliggjøring for forskere tilknyttet virksomheter i tredjeland (side 68)

Fjernaksess til helsedata er i henhold til personvernforordningen å anse som en «overføring», jfr. retningslinjer fra Personvernrådet. Det betyr blant annet at overføringsgrunnlag og ytterligere tiltak må på plass før overføring finner sted/fjernaksess kan gis. Vurderingene som er nødvendig for oppsett av slike dataoverføringer/fjernaksessløsning, inklusive de nye standardkontraktene som kan benyttes som overføringsgrunnlag, dersom vilkårene er oppfylt, er tidkrevende prosesser. Vi stiller derfor spørsmål til hvordan direktoratet skal kunne gjøre de påkrevde vurderingene iht. regelverket.

Det ville også måtte etableres egne tekniske løsninger dersom dataene kun skal tilgjengeliggjøres via fjernaksess, fordi dagens løsninger medfører at bruker som kan hente ut resultatfiler, også får direkte tilgang til å hente ut selve datasettet.

Dersom direktoratet skal gjøre vurderingene om nødvendig overføringsgrunnlag, om øvrige vilkår i personvernforordningen er oppfylt, om eventuelle supplerende tiltak er tilstrekkelige, så bør prisene bli høyere for tilgjengeliggjøring av data fra plattformen for virksomheter i tredjeland som tar direkte kontakt med Helsedataservice.

Et alternativ ville være at forskriften klargjør at forespørsler fra virksomheter i tredjeland skal gå via en norsk virksomhet. Da bidrar direktoratet til at Norge ikke bare er en rådataleverandør, men også en kunnskapsleverandør.

Kreftregisteret foreslår at departementet vurderer et slikt alternativ.

10.7 Statistikk og andre anonyme opplysninger (side 69-71) og § 11

Departementet skriver: «Departementet foreslår at det forskriftsfestes en plikt for Helsedataservice til å utarbeide og tilgjengeliggjøre statistikk på forespørsel, i samsvar med helseregisterloven § 19.»

Det kreves solid og spesifikk kompetanse for å utarbeide statistikk på helsedata. Særlig er det nødvendig med kunnskap om det registeret det gjelder, og fagområdet, i tillegg til statistikk og epidemiologisk metodekunnskap.

Kreftregisteret mener at Helsedataservice bør kunne utarbeide begrenset statistikk som omfatter selve bruken av plattformen og kostnader forbundet med dette. Men enhver faglig statistikk på helsedataene bør overlates til registerforvalterne. Etterspørsel etter faglig statistikk basert på sammenstillinger av data fra flere registre bør også gjøres i samarbeid mellom Helsedataservice og registerforvalterne.

Helsedatastatistikk fra registrene bør, som i dag, utarbeides og publiseres utenfor Helseanalyseplattformen. Dette gjelder både statistikk basert på data fra de lovbestemte helseregistrene, men også statistikk basert på data fra de medisinske kvalitetsregistrene og andre kvalitetsregistre som i dag har et samarbeid om offentlig publisering. Kvaliteten på resultatene sikres av et tett samarbeid mellom faglig, register- og statistisk/epidemiologisk ekspertise.

Dersom Helsedataservice skal utarbeide faglig statistikk, må dette gjøres i tett samarbeid med registerforvalterne. Det ville være svært uheldig om direktoratet tar på seg en ekspertrolle og utarbeider statistikk som ikke harmonerer med publisert statistikk fra registerforvalterne, eller som inneholder faglige feil eller mangler.

Kreftregisteret foreslår at § 11 presiserer at enhver faglig statistikk (inklusivt såkalt selvbetjent statistikk) som direktoratet utarbeider og tilgjengeliggjør, skal gjøres i samarbeid med, og med endelig godkjenning fra registerforvalterne.

Medias tilgang til statistikk (siste avsnitt side 70)

Departementet skriver: «Det må i tilfelle også kreves at autoriserte brukere som søker om direkte tilgang bekrefter at bruken av tjenesten er innenfor registrenes formål. Dette vil etter departementets syn gi tilstrekkelig sikkerhet for at opplysningene ikke brukes til uten-forliggende formål, for eksempel kommersiell virksomhet eller medievirksomheter.».

Kreftregisteret er usikker på hva eksemplene som er gitt i den siste setningen, innebærer, og er bekymret for at dette kan ramme medias tilgang til helsestatistikk. En stor del av registerforvalternes informasjonsarbeid går via mediesaker, og er således i tråd med formålet med registeret.

Kreftregisteret mener registerforvalternes fortsatt må kunne utarbeide anonyme resultater på forespørsel fra media.

10.9 Rådføring med registerforvalterne (side 72-73)

Kreftregisteret støtter departementet i at det vil være behov for direktoratet å rådføre seg med registerforvalterne når tilgjengeliggjøring krever særskilt kompetanse om opplysninger i et helseregister. Vi er i utgangspunktet enig i at det ikke bør fastsettes en veiledningsplikt for registerforvalterne, og støtter departementets begrunnelse. Registerforvalterne bør, som nevnt over, få myndighet til midlertidig å stanse avgjørelser om tilgjengeliggjøring av helsedata som ikke ligger på plattformen inntil forholdet er avklart (se kommentarer om § 7 under pkt. 10.3.1 over).

10.8 Søknader som krever REKs forskningsetiske forhåndsgodkjenning (side 71-72) og § 9

Kreftregisteret støtter at direktoratet kan motta og koordinere søknadene til REK. Samtidig ønsker vi å påpeke at godkjenningsrutinene hos REK bør effektiviseres for førstegangssøknader. Vår erfaring er at det tar 8-12 uker etter søknad er levert, altså flere uker etter REKs vedtak, før forhånds-godkjenning sendes søker. REK er imidlertid svært effektive med å svare ut endringssøknader.

10.12 Dispensasjon fra taushetsplikten (side 76) og § 10

Det bes om innspill fra høringsinstansene på om dispensasjonsmyndigheten for å gi vedtak om dispensasjon fra taushetsplikt i forskningsprosjekter skal ligge hos REK slik det gjør i dag, eller legges til Helsedatservice (punkt 10.12). Kreftregisteret mener at det sentrale her er at avgjørelsene om dispensasjon fra taushetsplikten tas riktig og effektivt. Dersom direktoratet sørger for kvalifisert personell, som har tilstrekkelige forutsetninger for å vurdere om dataminimeringsprinsippet er oppfylt i det enkelte tilfellet, og løsningen ikke blir for kostnadskrevende, mener vi dispensasjonsmyndigheten kan ligge hos direktoratet. Det viktige da er at registerforvalterne i § 7 gis mulighet til å overprøve vedtaket i de tilfellene registerforvalter vurderer at tilgjengeliggjøring ikke er praktisk/teknisk gjennomførbart (dvs. innebærer tilgang på data som ikke er på plattformen), eller er etisk eller juridisk betenkelige (f.eks. dersom vedtaket omfatter flere opplysninger enn nødvendig for formålet eller tilgjengeliggjøringen ikke er i tråd med øvrige vilkår i helseregisterloven § 19 til 19c).

12 Betaling og gjenytelser (side 77-80) og § 14

Se punkt 17 Økonomi nedenfor.

12.4. Krav om gjenytelser (side 80)

Departementet skriver: «Departementet foreslår ikke bestemmelser om gjenytelser i dette høringsnotatet, men det kan på sikt være aktuelt å vurdere gjenytelser i form av tilbakeføring av data, publikasjoner eller resultater av forskningen til plattformen. Slike betingelser kan også knyttes til reduserte priser og muligheter for tilbakebetaling eller lignende. Departementet ber høringsinstansene om å komme med forslag til hvordan dette kan løses, inkludert hvilke gjenytelser som er mest relevante og hvordan dette kan organiseres.»

Kreftregisteret støtter departementet her, og vi ser ingen grunn til tilbakeføring av data til plattformen. Det er ingen standard kvalitetssikring av analyser forskere utfører. Dersom en forsker gjør en feil i en analyse, ville man ved tilbakeføring risikere at feilen forplanter seg videre. Vi kan heller ikke se at dette vil gi noen adekvat reproduserbarhet av et forskningsresultat. For å reprodusere et resultat korrekt, bør nye forskere gå tilbake til primærkilden, og ikke bare til den andre forskerens resultater. En praksis med tilbakeføring ville også fordyre og komplisere plattformen. Forskere har gode offentlige tilgjengelige søkemotorer allerede, og trenger etter vår vurdering ikke enda et sted å rapportere resultater.

14.2.2 Unntak fra innsynsretten (side 83-84)

Det foreslås at det i innsynshjemmelen ikke skal beskrives at opplysningene skal gis gjennom sist behandlende lege eller institusjon. Kreftregisteret støtter dette forslaget. Kreftregisteret har en slik begrensning i egen forskrift, og mener denne bestemmelsen både er gammeldags «gått ut på dato» og vanskeliggjør besvarelser av innsynsbegjæringer til Kreftregisteret.

16.4 Tilgjengeliggjøring av helsedata fra registerforvalterne (side 91-92) og § 20

Departementet skriver: «Departementet foreslår at det forskriftsfestes at registerforvalterne ikke skal kunne tilgjengeliggjøre de samme opplysningene som Helsedataservice har myndighet til å fatte vedtak om etter § 7 første ledd (se punkt 10.3).» Departementet henviser videre til § 20 annet ledd.

Kreftregisteret mener som nevnt i 10.3.2 over, at det foreslåtte skillet mot «forskning» gjør det vanskeligere å utføre den daglige registerdriften. I tillegg vil et slikt skille sannsynligvis umuliggjøre den delen av kvalitetssikringen som i dag utføres under en forskningshatt av egne forskere og av eksterne klinikere i tett samarbeid med Kreftregisteret fordi det blir for tungvint og dyrt. Vi mener det ikke er noen fare for at man vil miste kontroll over utleveringer ved at enkelte tilgjengeliggjøringer av anonyme eller pseudonymiserte data, skjer direkte fra registerforvalter. Det er et svært begrenset antall utleveringer av slike datasett det dreier seg om, og det vil derfor være fullt mulig å holde god oversikt over hva som er tilgjengeliggjort til enhver tid, og til hvem. Vi er ikke bekymret for at søkere som får «avslag» fra Helsedataservice, vil søke direkte til registerforvalter, fordi søkere i dag generelt ikke får avslag, men isteden gis nærmere veiledning i regelverket ved behov, for å kunne revidere søknaden, slik at den endelige søknaden kan innvilges.

Vi mener bakveisidentifiseringsrisikoen heller ikke øker dersom det åpnes for en slik praksis. Kreftregisterets erfaring er at risikoen for bakveisidentifisering er betraktelig større når det dreier seg om koblede data fra flere registre, enn når det foreligger data kun fra ett helseregister. Særlig øker risikoen når utleveringen inneholder sosioøkonomiske data. Disse vurderingene og tilgjengeliggjøringen av koblede datasett hører hjemme i Helsedataservice.

Kreftregisteret mener §20 andre ledd må utgå. (Jf. også over).

16.5 Offentlige virksomheters bruk av helsedata (side 92-94) og § 20

Departementet skriver: «Departementet ber om høringsinstansenes syn på hvilken rolle Helsedataservice bør ha når det gjelder bruk av helsedata fra helseregistre til andre formål enn forskning. Dette gjelder både registerforvalternes bruk av egne data og tilgjengeliggjøring for andre brukere utenfor registerforvalterens virksomhet. Dersom registerforvaltere skal kunne bruke og tilgjengeliggjøre data til slike formål uten å søke om dette fra Helsedataservice, ber vi også om høringsinstansenes syn på om "virksomhetens oppgaver i henhold til lov, forskrift eller instruks" er en dekkende avgrensning for de ulike typene helseregistre.»

Offentlige virksomheter/søkere har ofte svært spesifikke bestillinger for å vurdere effektiviteten av behandlingen innen eget helseforetak/region. Ofte kreves flere runder med søker for å få klarlagt hvilke data de trenger for å nå formålet. For å svare ut søknaden, kreves solid kjennskap til både registerdata, kreftform, epidemiologisk metode og utarbeidelse statistiske analyser.

Kreftregisteret forutsetter at Helsedataservice i tett samarbeid med registerforvalterne utvikler gode statistikkløsninger over tid, slik at relevante tall etter hvert kan hentes ut riktig og sømløst fra plattformen. Men, å tvinge frem en henvisning av søker til Helsedataservice for å gi helsetjenesten det de har behov for, mener vi er uklokt.

Kreftregisteret mener derfor at registerforvalter bør kunne tilgjengeliggjøre data direkte til søker.

17. Økonomi (og 4.3 Finansieringsmodell (side 35-37) og 12 Betaling og gjenytelser side77-80) og § 14

Kreftregisteret mener det er uakseptabelt at registerforvalter skal måtte betale for å få utlevert egne data til forskning i egen regi. Vi viser til kommentarer ovenfor, særlig til punkt 16 og § 20. Kreftregisteret er bekymret for prisingen som foreslås, også når flere registre skal kobles. Vi viser til eksempler på estimater vi har blitt forelagt i arbeid med finansieringsmodell i Helsedataprogrammet og side 39 i presentasjon programstyremøte Helsedataprogrammet 3/6 2021.

I henhold til helseregisterloven § 19 g (se høringsnotatets punkt 3.10.4) skal den dataansvarlige ikke ta mer betalt enn tilsvarende de faktiske utgiftene forbundet med tilrettelegging og tilgjengeliggjøring av data (jf. også Helseregisterloven § 19 g). Dette er også i tråd med dagens praksis og tidligere regulering. Kreftregisteret mener det er viktig å sikre at brukerne ikke betaler mer enn de faktiske utgiftene den dataansvarlige har hatt i forbindelse med den enkelte tilgjengeliggjøring. Dette betyr at alt arbeid for å bedre og effektivisere prosesser eller systemer som ligger til grunn for tilgjengeliggjøring, må finansieres på annen måte.

Generelt mener vi det er en stor risiko for hele gevinstpotensialet til Helseanalyseplattformen dersom løsningen blir for dyr for brukerne. Få finansieringskilder gir støtte til så kostnadskrevende koblinger som foreslås. Dette vil kunne medføre mindre forskning på registerdata enn tidligere.

Særlig innen kreftforskning vil den foreslåtte prismodellen slå hardt ut. For de som benytter data fra Kreftregisteret alene, eller enkelt-kvalitetsregistre innen kreft, innebærer de foreslåtte prisene fra direktoratet en tidobling i kostnader. Selv dersom flere registre kobles på, innebærer dette en flerdobling av kostnadene fra i dag. Tilbakemeldingen fra kliniske miljøer er at en slik prisøkning i realiteten vil gjøre registerdata utilgjengelige for kliniske forskere.

Trinnvis utbygging

Kreftregisteret har tidligere foreslått en trinnvis utbygging av Helseanalyseplattformen. Det vises i denne sammenheng til høringsbrevet fra departementet, datert 22. april 2021, hvor det fremgår at det er en forutsetning at løsningen skal utvikles og utvides stegvis og i takt med den teknologiske utviklingen og erfaringen som gjøres underveis. Vi mener finansiering av drift og videreutvikling av Helseanalyseplattformen må skje via sentralfinansiering som hovedkilde. Dersom det ikke er mulig å dekke kostnadene forbundet med løsningen på annen måte enn med de høye prisene direktoratet tidligere har lagt frem, så bør man begynne med en enklere løsning for Helseanalyseplattformen.

Dersom departementet er åpen for våre forslag om å gjøre nødvendige endringer/tilpasninger i forskriften, som ikke begrenser registerforvalterne handlingsrom og muligheter til å arbeide med egne data til egne formål, tror vi Helseanalyseplattformen kan bli en suksess til glede for brukerne og til beste for samfunnet.

Signatur er godkjent elektronisk

Vennlig hilsen

Giske Ursin, direktør

Johanne Jerven Hestad, seksjonsleder

Hilde Kvammen Olav, spesialrådgiver/jurist