Bakgrunn
Helsedata benyttes gjennom hele utviklingsløpet for legemidler. I tidlig fase brukes helsedata blant annet til å undersøke sykdomsbyrde, epidemiologi og tilgjengelige behandlinger. Helsedata benyttes i kliniske studier og Real-World Evidence (RWE) studier for å evaluere effekten og sikkerheten av nye behandlinger og til å se på langtidseffekter og sikkerhet av legemidler og vaksiner. Helsedata brukes også i regulatoriske vurderinger og kost-nytte analyser for å støtte beslutninger om offentlig finansiering av nye metoder og legemidler. Kobling av helsedata er en forutsetning for utvikling og implementering av persontilpasset medisin. Fremtiden for medisinsk og klinisk forskning ligger i mulighetene store datasett gir for å effektivisere forskningen og bringe raskere fremskritt. Et eksempel er bruk av digitale kontrollarmer i kliniske studier.
Legemiddelindustrien er en legitim forskningsaktør som skaper verdier for samfunn, helsetjeneste og pasienter gjennom sin forskning på helsedata. Gjennom sin helsedataforskning er legemiddelindustrien med på å generere ny kunnskap som kan forbedre diagnostikk og behandlingsretningslinjer i tillegg til å gjøre helsetjenesten mer bærekraftig. Forskningen drevet av industrien er alltid godkjent av etiske komiteer, gjøres ofte i samarbeid med offentlige forskningsorganisasjoner og publiseres slik at resultatene er tilgjengelig for alle.
Det har lenge vært bred politisk enighet om at bedre utnyttelse av helsedata er nødvendigforutvikling av helsenæringen. Senest i Nasjonal helse- og samhandlingsplan (Meld. St.9 2023-2024) står det at regjeringen vil legge til rette for bedre bruk av helsedata i helseforskning, kvalitetsforbedring og styring, og som grunnlag for innovasjon og næringsutvikling . Veikartet for helsenæringen peker på at helsedata er et sentralt verktøy i legemiddelutvikling og i utvikling av produkter og løsninger innenfor helse- og velferdsteknologi. Flere tiltak de senere årene har hatt som mål å gi forskere (både fra offentlige og private virksomheter) raskere tilgang til helsedata.
LMI har forståelse for et endret risikobilde og er enige at helsedata og infrastruktur for innsamling og håndtering av helseopplysninger må beskyttes. Men samtidig er det en annen geopolitisk dimensjon som truer Europas fremtid, nemlig at Europa taper terreng i den teknologiske utviklingen sammenlignet med USA og Kina (ref. Mario Draghis rapport). Det er derfor viktig å sikre at innføring av nytt regelverk som påvirker forsking og innovasjon ikke vil begrense Europas konkurranseevne. I tillegg er det viktig at Norge er på linje med andre nordiske og europeiske land mht. hvordan dette håndteres. Hvis ikke vil Norge fremstå som (enda) mer restriktiv på området enn andre land i regionen.
LMI opplever at lovendringene som er på høring har stort potensiale til å påvirke tilgangen til og bruken av helsedata negativt ved å gjøre det mer komplisert og tidskrevende å få tilgang. LMI mener det bør gjøres en grundigere konsekvensutredning mht. hvordan endringene vil påvirke alle typer dataansvarlige som vurderer søknader om tilgang til helsedata og alle typer mottakere av helsedata til sekundærbruk.
Legemiddelindustrien er en legitim forskningsaktør som skaper verdier for samfunn, helsetjeneste og pasienter gjennom sin forskning på helsedata. Gjennom sin helsedataforskning er legemiddelindustrien med på å generere ny kunnskap som kan forbedre diagnostikk og behandlingsretningslinjer i tillegg til å gjøre helsetjenesten mer bærekraftig. Forskningen drevet av industrien er alltid godkjent av etiske komiteer, gjøres ofte i samarbeid med offentlige forskningsorganisasjoner og publiseres slik at resultatene er tilgjengelig for alle.
Det har lenge vært bred politisk enighet om at bedre utnyttelse av helsedata er nødvendigforutvikling av helsenæringen. Senest i Nasjonal helse- og samhandlingsplan (Meld. St.9 2023-2024) står det at regjeringen vil legge til rette for bedre bruk av helsedata i helseforskning, kvalitetsforbedring og styring, og som grunnlag for innovasjon og næringsutvikling . Veikartet for helsenæringen peker på at helsedata er et sentralt verktøy i legemiddelutvikling og i utvikling av produkter og løsninger innenfor helse- og velferdsteknologi. Flere tiltak de senere årene har hatt som mål å gi forskere (både fra offentlige og private virksomheter) raskere tilgang til helsedata.
LMI har forståelse for et endret risikobilde og er enige at helsedata og infrastruktur for innsamling og håndtering av helseopplysninger må beskyttes. Men samtidig er det en annen geopolitisk dimensjon som truer Europas fremtid, nemlig at Europa taper terreng i den teknologiske utviklingen sammenlignet med USA og Kina (ref. Mario Draghis rapport). Det er derfor viktig å sikre at innføring av nytt regelverk som påvirker forsking og innovasjon ikke vil begrense Europas konkurranseevne. I tillegg er det viktig at Norge er på linje med andre nordiske og europeiske land mht. hvordan dette håndteres. Hvis ikke vil Norge fremstå som (enda) mer restriktiv på området enn andre land i regionen.
LMI opplever at lovendringene som er på høring har stort potensiale til å påvirke tilgangen til og bruken av helsedata negativt ved å gjøre det mer komplisert og tidskrevende å få tilgang. LMI mener det bør gjøres en grundigere konsekvensutredning mht. hvordan endringene vil påvirke alle typer dataansvarlige som vurderer søknader om tilgang til helsedata og alle typer mottakere av helsedata til sekundærbruk.
Gjennomføring av bakgrunnssjekk
I følge forslag til ny § 21 a i Helseregisterloven er det den dataansvarlige som skal kreve og gjennomføre bakgrunnssjekk. Avhengig av omfanget vil dette kunne komplisere og forsinke godkjenning av tilgang til helsedata. Det vil sannsynligvis også kreve innføring av nye systemer og opplæring av ansatte ved en rekke organisasjoner som i dag er dataansvarlige.
I praksis vil det kunne bety at ansatte ved et norsk helseforetak som er dataansvarlige for et helseregister kan få krav om å gjennomføre bakgrunnssjekk for flere ansatte i et internasjonalt firma som søker om tilgang til dataene. Disse ansatte kan være lokalisert i Norge eller andre land. I forslaget til ny § 21a er det ikke beskrevet hvordan bakgrunnssjekk skal utføres for personer bosatt utenfor Norge. Disse hensyn vil også gjelde for forskere i offentlige organisasjoner som samarbeider med forskere i andre land. Prosedyren for bakgrunnssjekk som beskrevet er derfor ikke tilpasset en virkelighet der forskere samarbeider internasjonalt om helsedataforskning.
LMI vil påpeke at fravær av tydelige definisjoner for når og hvordan bakgrunnssjekk skal utføres kan føre til at oppgaven fremstår som for komplisert og ikke i forhold til insentivene for å gjøre data tilgjengelig. Dette vil kunne lede til avslag på tilgang til data pga. for store ressurskrav eller frykt for å gjøre feil. Det kan fremstå sikrere å bare avslå, enn å ta ansvar for å vurdere om det er sikkert å gi tilgang.
Det fremgår ikke i lovforslaget om det vil være mulig å påklage et eventuelt avslag om tilgang til helsedata hvis mottaker ikke består bakgrunnssjekken. Dersom tilgang vurderes som enkeltvedtak må det nødvendigvis også gis klageadgang med tilhørende instanser for dette. Hvis det ikke skal være mulig å klage på avgjørelsen, må man også ta høyde for konsekvensen av manglende klagerett. For eksempel hvis en mottaker ikke består bakgrunnssjekken, kan organisasjonen søke på nytt med en annen mottaker? Dette vil kunne medføre store kostnader hva gjelder tid og personell for å håndtere klager på utlevering av og tilgang til data.
LMI mener det bør gjøres en grundigere konsekvensutredning av innføring av krav om bakgrunnssjekk for tilgang til helsedata for sekundærbruk. Konsekvenser for alle typer dataansvarlige som dekkes av lovforslaget må tas med. Det bør også beskrives tydelig hvordan bakgrunnssjekk skal kunne utføres når mottaker ikke er en enkeltperson og når mottaker ikke er ansatt eller bosatt i Norge. I tillegg må muligheter for å klage på avgjørelser grunnet ikke bestått bakgrunnssjekk beskrives.
I praksis vil det kunne bety at ansatte ved et norsk helseforetak som er dataansvarlige for et helseregister kan få krav om å gjennomføre bakgrunnssjekk for flere ansatte i et internasjonalt firma som søker om tilgang til dataene. Disse ansatte kan være lokalisert i Norge eller andre land. I forslaget til ny § 21a er det ikke beskrevet hvordan bakgrunnssjekk skal utføres for personer bosatt utenfor Norge. Disse hensyn vil også gjelde for forskere i offentlige organisasjoner som samarbeider med forskere i andre land. Prosedyren for bakgrunnssjekk som beskrevet er derfor ikke tilpasset en virkelighet der forskere samarbeider internasjonalt om helsedataforskning.
LMI vil påpeke at fravær av tydelige definisjoner for når og hvordan bakgrunnssjekk skal utføres kan føre til at oppgaven fremstår som for komplisert og ikke i forhold til insentivene for å gjøre data tilgjengelig. Dette vil kunne lede til avslag på tilgang til data pga. for store ressurskrav eller frykt for å gjøre feil. Det kan fremstå sikrere å bare avslå, enn å ta ansvar for å vurdere om det er sikkert å gi tilgang.
Det fremgår ikke i lovforslaget om det vil være mulig å påklage et eventuelt avslag om tilgang til helsedata hvis mottaker ikke består bakgrunnssjekken. Dersom tilgang vurderes som enkeltvedtak må det nødvendigvis også gis klageadgang med tilhørende instanser for dette. Hvis det ikke skal være mulig å klage på avgjørelsen, må man også ta høyde for konsekvensen av manglende klagerett. For eksempel hvis en mottaker ikke består bakgrunnssjekken, kan organisasjonen søke på nytt med en annen mottaker? Dette vil kunne medføre store kostnader hva gjelder tid og personell for å håndtere klager på utlevering av og tilgang til data.
LMI mener det bør gjøres en grundigere konsekvensutredning av innføring av krav om bakgrunnssjekk for tilgang til helsedata for sekundærbruk. Konsekvenser for alle typer dataansvarlige som dekkes av lovforslaget må tas med. Det bør også beskrives tydelig hvordan bakgrunnssjekk skal kunne utføres når mottaker ikke er en enkeltperson og når mottaker ikke er ansatt eller bosatt i Norge. I tillegg må muligheter for å klage på avgjørelser grunnet ikke bestått bakgrunnssjekk beskrives.
Konsekvenser for sekundærbruk av helsedata
I departementets vurderinger står det:
Med store datasett mener departementet datasett som alene eller sammen med andre datasett sier noe om en større befolkningsgruppe og som vil kunne ha betydning for nasjonale sikkerhetsinteresser, dersom de blir kompromittert. Dette kan være datasett som ikke tidligere har vært ansett å utgjøre en sikkerhetsrisiko. Slike datasett er i dag, i relativt stor utstrekning, offentlig tilgjengelig.
Det er uklart hva som menes med offentlig tilgjengelige datasett. Det bør presiseres om offentlig tilgjengelig betyr tilgjengelig for allmenheten eksempelvis på en nettside eller i en vitenskapelig artikkel, eller om det innebærer at man kan søke om tilgang til datasettene gjennom et godkjenningssystem.
Helseregistrene er ifølge § 19 pålagt å utarbeide og løpende offentliggjøre relevant statistikk. Offentliggjøring av statistikk som utarbeides på bakgrunn av helsedata vil ikke kunne true integriteten til kildedataene så lenge disse er lagret på en sikker måte. Utarbeidelse av statistikk bør derfor ikke utgjøre noen risiko for kompromittering av store datasett.
Det er også spørsmål om dette vil gjelde for statistikk som tidligere er offentliggjort og som publiseres regelmessig. Dersom vurderinger skal gjøres for eksisterende datasett vil dette kunne medføre endret tilgang for virksomheter som har datasett og offentlige data i bruk i pågående studier og prosesser.
Departementet skriver videre:
Departementet mener at det, i større grad enn i dag er nødvendig å ha mulighet til å kunne begrense tilgang til denne type datasett og at dette bør fremgå av helseregisterloven og helsepersonelloven. Departementet vil presisere at behovet for skjerming ikke gjelder alle store datasett, og at hovedregelen fortsatt bør være at det gis tilgang.
Her fremstår det ikke som om det er snakk om publisert statistikk, men datasett som «det gis tilgang til». I lovforslaget er det i motsetning ikke referert til store datasett, men til helseopplysninger og statistikk.
I forslaget til endringer i § 19 fjerde ledd står det:
Statistikk som kan true nasjonale sikkerhetsinteresser skal ikke gjøres offentlig tilgjengelig .
I forslaget til endringer i § 19a åttende ledd står det:
Dersom tilgjengeliggjøring av helseopplysninger kan true nasjonale sikkerhetsinteresser, skal opplysningene ikke gjøres tilgjengelig.
Det er dermed ikke tydelig ut ifra lovteksten at det gjelder store datasett, og det kan fremstå som at dataansvarlig må vurdere om alle typer statistikk og helseopplysninger kan ha betydning for nasjonale sikkerhetsinteresser. Slike uklarheter kan medføre mange utilsiktede konsekvenser i fravær av ytterligere tydeliggjøring. Det vil for eksempel kunne bety at statistikk som i dag brukes i helseøkonomisk analyser og metodevurderinger ikke kan offentligjøres. Dette vil i så fall kunne undergrave ønsket om transparente beslutningsprosesser for innføring av legemidler. I tillegg vil det kunne begrense forskeres mulighet til å publisere resultatene sine.
LMI mener derfor at der bør gjøres en grundigere konsekvensutredning mht. hvordan begrensinger for offentliggjøring av anonym statistikk vil kunne påvirke bruk av helsedata til forskning, helseøkonomiske analyser og metodevurderinger (HTA) og muligheter for publisering av forskingsresultater.
Med store datasett mener departementet datasett som alene eller sammen med andre datasett sier noe om en større befolkningsgruppe og som vil kunne ha betydning for nasjonale sikkerhetsinteresser, dersom de blir kompromittert. Dette kan være datasett som ikke tidligere har vært ansett å utgjøre en sikkerhetsrisiko. Slike datasett er i dag, i relativt stor utstrekning, offentlig tilgjengelig.
Det er uklart hva som menes med offentlig tilgjengelige datasett. Det bør presiseres om offentlig tilgjengelig betyr tilgjengelig for allmenheten eksempelvis på en nettside eller i en vitenskapelig artikkel, eller om det innebærer at man kan søke om tilgang til datasettene gjennom et godkjenningssystem.
Helseregistrene er ifølge § 19 pålagt å utarbeide og løpende offentliggjøre relevant statistikk. Offentliggjøring av statistikk som utarbeides på bakgrunn av helsedata vil ikke kunne true integriteten til kildedataene så lenge disse er lagret på en sikker måte. Utarbeidelse av statistikk bør derfor ikke utgjøre noen risiko for kompromittering av store datasett.
Det er også spørsmål om dette vil gjelde for statistikk som tidligere er offentliggjort og som publiseres regelmessig. Dersom vurderinger skal gjøres for eksisterende datasett vil dette kunne medføre endret tilgang for virksomheter som har datasett og offentlige data i bruk i pågående studier og prosesser.
Departementet skriver videre:
Departementet mener at det, i større grad enn i dag er nødvendig å ha mulighet til å kunne begrense tilgang til denne type datasett og at dette bør fremgå av helseregisterloven og helsepersonelloven. Departementet vil presisere at behovet for skjerming ikke gjelder alle store datasett, og at hovedregelen fortsatt bør være at det gis tilgang.
Her fremstår det ikke som om det er snakk om publisert statistikk, men datasett som «det gis tilgang til». I lovforslaget er det i motsetning ikke referert til store datasett, men til helseopplysninger og statistikk.
I forslaget til endringer i § 19 fjerde ledd står det:
Statistikk som kan true nasjonale sikkerhetsinteresser skal ikke gjøres offentlig tilgjengelig .
I forslaget til endringer i § 19a åttende ledd står det:
Dersom tilgjengeliggjøring av helseopplysninger kan true nasjonale sikkerhetsinteresser, skal opplysningene ikke gjøres tilgjengelig.
Det er dermed ikke tydelig ut ifra lovteksten at det gjelder store datasett, og det kan fremstå som at dataansvarlig må vurdere om alle typer statistikk og helseopplysninger kan ha betydning for nasjonale sikkerhetsinteresser. Slike uklarheter kan medføre mange utilsiktede konsekvenser i fravær av ytterligere tydeliggjøring. Det vil for eksempel kunne bety at statistikk som i dag brukes i helseøkonomisk analyser og metodevurderinger ikke kan offentligjøres. Dette vil i så fall kunne undergrave ønsket om transparente beslutningsprosesser for innføring av legemidler. I tillegg vil det kunne begrense forskeres mulighet til å publisere resultatene sine.
LMI mener derfor at der bør gjøres en grundigere konsekvensutredning mht. hvordan begrensinger for offentliggjøring av anonym statistikk vil kunne påvirke bruk av helsedata til forskning, helseøkonomiske analyser og metodevurderinger (HTA) og muligheter for publisering av forskingsresultater.
Vurdering av nasjonale sikkerhetsinteresser
I høringsnotatet blir det trukket fram at vurderinger av hva som utgjør nasjonale sikkerhetsinteresser kan være krevende for den enkelte virksomhet. Departementet mener også at sikkerhetslovens metodikk skal anvendes. I departementets vurderinger står det:
Det er i utgangspunktet heller ikke vurderinger som virksomhetene er «rigget» for å foreta. Det er derfor viktig at kriteriene i større grad utdypes og beskrives i forskriftsarbeidet og eventuelt i rundskriv. Det er også en forutsetning at det er tett dialog mellom helsemyndighetene som skal forestå disse vurderingene og de nasjonale instansene med særskilt kompetanse på samfunnssikkerhet. Dette vil kunne bidra til at du ulike virksomhetene i begrenset grad tolker like saker ulikt og at tilgang til disse datasettene ikke blir begrenset i for stor grad.
LMI er bekymret for at krav om slike vurderinger hos alle dataansvarlige potensielt vil føre til forsinkelser i utarbeidelse av statistikk og/eller behandling av søknader om tilgang til helsedata.
Dagens system for tilrådning fra personvernombud illustrerer at det er stor sannsynlighet for betydelige forskjeller mellom virksomheter i hvordan slike vurderinger utføres. Det vil derfor stille meget høye krav til utdyping av kriteriene og veiledning i bruk av metodikken. Som ved krav om bakgrunnssjekk vil vi peke på at hvis virksomheten ikke føler seg skikket til å foreta vurderingen, vil det kunne lede til at statistikk tilbakeholdes eller at man gir avslag på tilgang fordi dette fremstår sikrere enn å ta ansvar for å vurdere om det er sikkert å offentliggjøre/gi tilgang.
Det må også tas hensyn til at disse vurderingene vil kreve ressurser som ellers vill ha utført andre oppgaver. Det bør derfor utredes grundig hvordan lovforslaget vil påvirke virksomhetens muligheter for å bidra til tilgjengeliggjøring av data og utarbeidelse av statistikk.
Det er i utgangspunktet heller ikke vurderinger som virksomhetene er «rigget» for å foreta. Det er derfor viktig at kriteriene i større grad utdypes og beskrives i forskriftsarbeidet og eventuelt i rundskriv. Det er også en forutsetning at det er tett dialog mellom helsemyndighetene som skal forestå disse vurderingene og de nasjonale instansene med særskilt kompetanse på samfunnssikkerhet. Dette vil kunne bidra til at du ulike virksomhetene i begrenset grad tolker like saker ulikt og at tilgang til disse datasettene ikke blir begrenset i for stor grad.
LMI er bekymret for at krav om slike vurderinger hos alle dataansvarlige potensielt vil føre til forsinkelser i utarbeidelse av statistikk og/eller behandling av søknader om tilgang til helsedata.
Dagens system for tilrådning fra personvernombud illustrerer at det er stor sannsynlighet for betydelige forskjeller mellom virksomheter i hvordan slike vurderinger utføres. Det vil derfor stille meget høye krav til utdyping av kriteriene og veiledning i bruk av metodikken. Som ved krav om bakgrunnssjekk vil vi peke på at hvis virksomheten ikke føler seg skikket til å foreta vurderingen, vil det kunne lede til at statistikk tilbakeholdes eller at man gir avslag på tilgang fordi dette fremstår sikrere enn å ta ansvar for å vurdere om det er sikkert å offentliggjøre/gi tilgang.
Det må også tas hensyn til at disse vurderingene vil kreve ressurser som ellers vill ha utført andre oppgaver. Det bør derfor utredes grundig hvordan lovforslaget vil påvirke virksomhetens muligheter for å bidra til tilgjengeliggjøring av data og utarbeidelse av statistikk.