I vår har Datatilsynet vært på en omfattende kontrollturné hos Nasjonalt Folkehelseinstitutt (FHI) i Oslo og Bergen for å undersøke instituttets behandling av helseopplysninger.

Tirsdag ble de foreløpig kontrollrapportene fra Datatilsynet offentliggjort, og der kommer det frem at FHI har dårlige rutiner på flere områder når det gjelder å behandle våre mest sensitive personopplysninger, knyttet til helse og sykdom.

«Datatilsynet ser alvorlig på at FHI ikke har dokumenterte rutiner for ivaretakelse av informasjonsplikten.» Datatilsynets rapport om FHI.

Ikke tilfredsstillende

I alt gjorde Datatilsynet fire kontroller hos FHI: En generell kontroll av håndtering av helseopplysninger, samt separate kontroller i to registre (Den norske mor og barn-undersøkelsen, samt Nasjonalt tvillingregister) og endelig også kontroll med hvordan opplysninger våre helseopplysninger blir brukt i forskningen.

Datatilsynet setter fingeren på flere forhold som ikke er tilfredsstillende:

• Systematiske og planlagte interne kontroller av hvordan helseopplysningene behandles er ikke gode nok.
• Ledelsen på ulike nivåer i Folkehelsa har ikke tilstrekkelig oversikt over hvordan helseopplysninger i virksomheten behandles.
• Instituttet hadde ikke rutiner for hvordan den såkalte informasjonsplikten ivaretas, det vil si plikten til å informere meg og deg om hvilke helseopplysninger de har samlet om oss. Dette ser Datatilsynet alvorlig på.
• Instituttet oppbevarer sikkerhetskopier av helseopplysninger i lang tid ut over det som er nødvendig. Det ble funnet filer som var opptil ti år gamle.

- En viss begrepsforvirring

Senioringeniør Helge Veum i Datatilsynet var en av de tre som foretok kontrollene i vår.

- Instituttet har forbedringspotensial på flere punkter, blant annet fant vi en viss begrepsforvirring når det gjelder hva som er anonyme opplysninger. Det har forekommet at opplysninger som ikke var anonyme nok har blitt behandlet som anonyme, sier han til Aftenposten.no.

Veum legger imidlertid til at Folkehelseinstituttet er en veldig stor institusjon, og at Datatilsynet nærmest forventet å finne noen avvik.

- Det som ikke kommer så klart frem fra rapportene våre, er at det også finnes mye bra hos FHI, sier han.

Det hadde vært veldig skuffende om det ikke ble registrert avvik. Geir Stene-Larsen, direktør i Folkehelseinstituttet.

- Brudd på informasjonsplikten

Når det gjelder innsamling av opplysninger fra andre enn den registrerte, ser Datatilsynet alvorlig på bruddet på informasjonsplikten. Ordlyden «alvorlig» forklarer Veum med det grunnleggende kravet om at både du og jeg skal vite hvilke opplysninger som er registrert om oss.

- I en rekke tilfeller kan Regional etisk komité (REK) gi dispensasjon for å be om samtykke til innhenting av helseopplysninger. Det betyr ikke automatisk at FHI ikke skal informere dem det gjelder om at opplysningene er innhentet, noe vi så i vår kontroll at skjedde, sier Veum.

«Datatilsynet ser alvorlig på at FHI ikke har dokumenterte rutiner for ivaretakelse av informasjonsplikten», skriver Datatilsynet i rapporten.

Har lukket alle avvik

Direktør Geir Stene-Larsen i FHI opplyser til Aftenposten.no at det er helt naturlig at det blir avdekket mangler etter slike tilsyn, og at FHI ser på dette som en hjelp til å bli bedre.

- Det hadde vært veldig skuffende om det ikke ble registrert avvik, sier han.

Når det gjelder kritikken om begrepsforvirring presiserer direktøren at dataene har vært håndtert på korrekt måte, men at FHIs interne betegnelse «anonym på forskerens hånd» kan ha virket forvirrende. Derfor er begrepet endret.

Angående ivaretakelse av informasjonsplikten opplyser Stene-Larsen at dette dreier seg om et prosjekt der man koblet informasjon fra en undersøkelse opp mot familiemedlemmer.

- All informasjonen var anonym, og ingenting kunne tilbakeføres til disse personene. Vi ga elektronisk informasjon om at data om familiemedlemmene ville bli brukt, men datatilsynet ville at denne informasjonen skulle være mer konkret. Det har vi nå tatt konsekvensen av, sier han.