Bilag 1

Oversigt over bilag vedrørende L 146

Oversigt over spørgsmål og svar vedrørende L 146

Bilag 2

Nogle af udvalgets spørgsmål til sundhedsministeren og dennes svar herpå

Spørgsmål 2, 10, 15, 16, 21, 23, 30 og 41 og sundhedsministerens svar herpå er optrykt efter ønske fra DF.

Spørgsmål 2:

Ministeren bedes oplyse, om det er korrekt, at man ikke kan tilbagetrække sine DNA-data, som er indsamlet i forskningsprojekter før Nationalt Genomcenters oprettelse, hvilket vil betyde, at Nationalt Genomcenter har dispositionsret over flere hundredetusinde danskeres unikke gen og vil beholde patientoplysningerne, og give dem videre til sundhedsvæsenets og industriens forskere uden borgernes samtykke.

Svar:

Fremstillingen er ikke korrekt. Genetiske oplysninger, hvor analysen er foretaget før Nationalt Genomcenters oprettelse, kan kun videregives til Nationalt Genomcenter, hvis borgeren frivilligt anmoder om det.

Nedenfor følger en uddybning af rammerne for videregivelse og anvendelse af genetiske oplysninger i Nationalt Genomcenter.

Fsva. rammerne for videregivelse af genetiske oplysninger til Nationalt Genomcenter kan følgende oplyses:

Nationalt Genomcenter kan med lovforslaget få videregivet genetiske oplysninger i de tilfælde, hvor analysen er foretaget efter centerets oprettelse, og hvor den genetiske analyse er foretaget med samtykke i forbindelse med behandling eller forskning.

Det fremgår af lovforslagets afsnit 2.2.2, at Nationalt Genomcenter ikke vil kunne indsamle genetiske oplysninger fra registerforskningsprojekter, såkaldt biobankforskning, hvor en videnskabsetisk komité har dispenseret fra kravet om samtykke i medfør af komitélovens § 10.

Nationalt Genomcenter vil alene kunne indsamle genetiske oplysninger fra forskningsprojekter, hvor forsøgspersonen har givet samtykke til at deltage i det pågældende projekt, hvori den genetiske analyse indgår.

I det tilfælde, at en genetisk analyse er foretaget før centerets oprettelse, følger det af lovforslaget, at sundhedsministeren bemyndiges til at kunne fastsætte regler om, at borgere frivilligt kan overlade genetiske oplysninger, som er udledt af biologisk materiale, til Nationalt Genomcenter. Det fremgår af lovforslaget, at det er hensigten at udmønte bestemmelsen til at fastsætte regler om, at borgeren har mulighed for frivilligt - dvs. efter borgerens udtrykkelige anmodning - at overlade sine genetiske oplysninger, der er udledt af biologisk materiale, til opbevaring i Nationalt Genomcenter.

Fsva. rammerne for anvendelse af oplysninger i Nationalt Genomcenter til videnskabelige og statistiske formål af væsentlig samfundsmæssig betydning kan følgende oplyses:

Med lovforslagets § 1, nr. 5, foreslås en selvbestemmelsesret for patienter, hvis genetiske oplysninger, som er blevet udledt af biologisk materiale i forbindelse med behandling, opbevares af Nationalt Genomcenter. Således kan patienten vælge, at disse oplysninger kun må anvendes til behandling af den pågældende og til formål, der har en umiddelbar tilknytning hertil. Denne beslutning indebærer bl.a., at den pågældende patients genetiske oplysninger ikke må anvendes til f.eks. forskning.

Selvbestemmelsesretten betyder, at disse oplysninger ikke kan anvendes til forskning. Det kan de heller ikke, selvom forskningsprojektet måtte være omfattet af relevante tilladelser, godkendelser m.v. Patientens selvbestemmelse har således forrang.

Der henvises i øvrigt til samtidigt svar på SUU spørgsmål nr. 10 (L 146 - forslag til lov om ændring af sundhedsloven (Organiseringen i Sundheds- og Ældreministeriet, oprettelse af Nationalt Genomcenter m.v.)) vedrørende en patients selvbestemmelsesret.

I forhold til anvendelse af oplysninger fra patientbehandlingssammenhænge i den kliniske del af infrastrukturen i Nationalt Genomcenter til videnskabelige formål finder sundhedslovens § 46 anvendelse. I disse tilfælde har patienten samtykket til selve genomsekventeringen ifm. behandlingen.

Uanset dette samtykke, skal videregivelse af genetiske oplysninger til et nyt forskningsprojekt enten have tilladelse fra en videnskabsetisk komité eller godkendes af Styrelsen for Patientsikkerhed afhængig af projektets karakter. Det følger således af sundhedslovens § 46, stk. 1, at oplysninger om enkeltpersoners helbredsforhold, øvrige rent private forhold og andre fortrolige oplysninger fra patientjournaler m.v. kan videregives til en forsker til brug for et konkret sundhedsvidenskabeligt forskningsprojekt, såfremt der er meddelt tilladelse til projektet efter lov om et videnskabsetisk komitésystem og behandling af biomedicinske forskningsprojekter.

Det følger endvidere af sundhedslovens § 46, stk. 2, at oplysninger som nævnt i stk. 1 kan, når et forskningsprojekt ikke er omfattet af lov om videnskabsetisk behandling af sundhedsvidenskabelige forskningsprojekter, videregives til en forsker til brug ved et konkret forskningsprojekt af væsentlig samfundsmæssig interesse efter godkendelse af Styrelsen for Patientsikkerhed, som fastsætter vilkår for videregivelsen.

Det betyder, at der kan videregives genetiske oplysninger fra den kliniske del af infrastrukturen i Nationalt Genomcenter til et konkret forskningsprojekt af væsentlig samfundsmæssig interesse, der indebærer forskning i genetiske oplysninger, det vil sige »tørre« sekventeringsdata udledt af biologisk materiale, efter godkendelse af Styrelsen for Patientsikkerhed.

Det skal dog igen understreges, at patientens selvbestemmelse har forrang, og således vil patientens genetiske oplysninger i Nationalt Genomcenter ikke kunne anvendes til forskning, hvis patienten har ladet sig registrere i Vævsanvendelsesregisteret.

I forhold til anvendelse af oplysninger fra forskningsprojekter, der tilgår forskningsinfrastrukturen i Nationalt Genomcenter til videnskabelige formål, vil de genetiske oplysninger, der opbevares i Nationalt Genomcenter, også i disse tilfælde være udledt som følge af enten patientens samtykke ifm. behandling, eller som følge af at en borger har samtykket til frivillig deltagelse i et forskningsforsøg, hvori den genetiske analyse indgår, efter centerets oprettelse, eller som følge af at en borger - i de tilfælde, hvor den genetiske analyse er foretaget før Nationalt Genomcenters oprettelse - frivilligt anmoder om at få videregivet oplysninger til Nationalt Genomcenter.

For sundhedsvidenskabelige forskningsprojekter, der indebærer omfattende kortlægning af den menneskelige arvemasse (genomsekventering), gælder der en særlig praksis for behandling og videregivelse af »tørre« sekventeringsdata (registerdata) udledt af biologisk materiale. Komitésystemet stiller efter sin nuværende praksis som vilkår for tilladelser til forskningsprojekter, hvorved der udføres genomsekventering af biologisk materiale og genereres sekventeringsdata på baggrund heraf, at disse data ikke kan anvendes til fornyet forskning eller videregivelse til tredjemand (f.eks. et andet forskningsprojekt) uden en særskilt tilladelse fra komitéen. Det betyder, at sekventeringsdata ikke kan anvendes i et nyt forskningsprojekt uden komitéens fornyede tilladelse.

Det betyder med andre ord, at anvendelse af genetiske oplysninger fra Nationalt Genomcenter til forskningsformål i udgangspunktet vil være omfattet af enten godkendelse fra Styrelsen for Patientsikkerhed eller tilladelse fra det videnskabsetiske komitésystem for at sikre, at forskningsprojektet er af væsentlig samfundsmæssig interesse og videnskabsetisk forsvarligt m.v. Dertil skal det bemærkes, at fsva. forskningsprojekter godkendt af komitésystemet lægges der afgørende vægt på hensynet til forsøgspersonens rettigheder, sikkerhed og velbefindende, som går forud for videnskabelige og samfundsmæssige interesser. Endelig skal det understreges, at den med lovforslaget foreslåede selvbestemmelsesret for patienter fsva. deres genetiske oplysninger, som er udledt af biologisk materiale i forbindelse med behandling, og som opbevares af Nationalt Genomcenter, jf. lovforslagets § 1, nr. 5, altid vil have forrang ift. videregivelse af genetiske oplysninger til forskningsprojekter fra patientbehandlingssammenhænge. Det betyder, at Nationalt Genomcenter ikke vil kunne videregive en patients genetiske oplysninger til forskning, såfremt patienten har frabedt sig dette.

Spørgsmål 10:

Ministeren bedes oplyse, hvordan ministeren vil sikre, at borgerne blive informeret tilstrækkeligt om Nationalt Genomcenter og mulighederne for at kunne frasige sig retten til at lade sine genetiske oplysninger anvende til andet end den pågældendes behandling.

Svar:

Patienters selvbestemmelsesret og information herom er helt centrale elementer i lovforslaget.

Med lovforslaget får patienterne en særskilt ret til selvbestemmelse over vedkommendes genetiske oplysninger, som er udledt af biologisk materiale, og som opbevares i Nationalt Genomcenter. Det vil sige, at patienten kan frabede sig, at vedkommendes genetiske oplysninger behandles til andre formål end behandling af den pågældende og formål, der har en umiddelbar tilknytning hertil.

Det skal bemærkes, at patienten til enhver tid vil kunne ændre denne beslutning.

Patienten vil forud for den behandlende sundhedspersons indhentelse af samtykke til en behandling, der omfatter genetisk analyse, blive informeret om sin selvbestemmelsesret over genetiske oplysninger i Nationalt Genomcenter. Patienten vil dermed blive gjort opmærksom på, at vedkommendes genetiske oplysninger vil blive opbevaret i Nationalt Genomcenter, hvis der samtykkes til en behandling, der omfatter genetisk analyse.

Patienten samtykker altså til selve behandlingen, der omfatter en genetisk analyse. Det bemærkes i den forbindelse, at der vil blive fastsat regler om, at at sådant samtykke skal være skriftligt. Der henvises i den forbindelse til samtidigt svar på SUU spørgsmål nr. 16 (L 146 - forslag til lov om ændring af sundhedsloven (Organiseringen i Sundheds- og Ældreministeriet, oprettelse af Nationalt Genomcenter m.v.)).

Patienten vil i den forbindelse være fuldt ud informeret om, at oplysningerne efterfølgende vil blive opbevaret og behandlet i Nationalt Genomcenter. Det fremgår således klart af lovforslaget, at lovforslaget indebærer, at den behandlende sundhedsperson forpligtes til, forud for at patienten meddeler informeret samtykke til en behandling, der omfatter en genetisk analyse, at informere patienten om patientens ret til at træffe beslutning om, at genetiske oplysninger, der er udledt af biologisk materiale, og som opbevares i Nationalt Genomcenter, kun må anvendes til behandling af den pågældende og til formål, der har en umiddelbar tilknytning hertil.

Det fremgår af lovforslaget, at der kan fastsættes regler om, hvordan denne information skal foregå, så den bliver ensartet på tværs af landet. Der vil derfor blive fastsat krav om, at informationen skal indeholde oplysninger, der klart og tydeligt beskriver, at patienternes genetiske oplysninger opbevares i Nationalt Genomcenter bl.a. til brug for evt. senere behandling af patienten.

. / . For at belyse nogle af de krav, som der med lovforslaget foreslås til den føromtalte information, har Sundheds- og Ældreministeriet udarbejdet et udkast til eksempel på blanket til brug for informeret samtykke til genetisk analyse, jf. bilaget Udkast til eksempel på blanket om informeret samtykke til genetisk analyse.

Det skal understreges, at der er tale om et udkast til eksempel på en sådan blanket. En endelig udarbejdelse af blanketten vil skulle ske med inddragelse af relevante faglige personer samt det etiske udvalg og borger- og patientudvalget, der er nedsat under bestyrelsen for National Strategi for Personlig Medicin 2017-2020 samt vigtige kommunikative hensyn.

I det følgende vil selvbestemmelsesretten blive uddybet.

Med den i lovforslaget foreslåede § 1, nr. 5, sikres patienten en særskilt ret til selvbestemmelse over vedkommendes genetiske oplysninger, som er udledt af biologisk materiale, og som opbevares i Nationalt Genomcenter.

Det foreslås således, at en patient kan beslutte, at vedkommendes genetiske oplysninger, som er udledt af biologisk materiale i forbindelse med behandling, og som opbevares af Nationalt Genomcenter, kun må anvendes til behandling af den pågældende og til formål, der har en umiddelbar tilknytning hertil.

Patientens beslutning om, at vedkommendes genetiske oplysninger kun må anvendes til behandling af patienten selv og til formål, der har en umiddelbar tilknytning hertil, skal registreres i Vævsanvendelsesregisteret.

Det fremgår af bemærkningerne til den foreslåede § 1, nr. 5, at der ved anvendelse til formål, der har en umiddelbar tilknytning til behandlingen, skal forstås: Kvalitetssikring, metodeudvikling, undervisning af sundhedspersoner på behandlingsstedet og lignende rutinemæssige funktioner, der har direkte tilknytning til og sammenhæng med behandlingsindsatsen.

Registrerer en patient - i Vævsanvendelsesregisteret - sin beslutning om, at vedkommendes genetiske oplysninger kun må anvendes til egen behandling og formål, der har en umiddelbar tilknytning hertil, vil vedkommendes genetiske oplysninger ikke kunne blive behandlet til andre end disse formål.

Det fremgår endvidere af bemærkningerne til lovforslagets § 1, nr. 5, at dette ikke er til hinder for, at Nationalt Genomcenter kan videregive oplysninger til brug for behandling af klage- og erstatningssager i medfør af lov om klage- og erstatningsadgang inden for sundhedsvæsenet eller til brug for Styrelsen for Patientsikkerheds varetagelse af tilsynsopgaver efter autorisationsloven eller sundhedsloven.

Det betyder bl.a., at behandling af patientens genetiske oplysninger til formål, som vedrører statistiske eller videnskabelige undersøgelser, er udelukket.

For at sikre, at patienten informeres om denne selvbestemmelsesret foreslås det med lovforslagets § 1, nr. 7, at den behandlende sundhedsperson skal informere patienten om vedkommendes selvbestemmelsesret forud for indhentning af patientens samtykke til en behandling, der omfatter genetisk analyse.

Den forslåede ordning indebærer, at patienten forud for et eventuelt samtykke til en genetisk analyse vil blive informeret om muligheden for at frabede sig, at vedkommendes genetiske oplysninger i Nationalt Genomcenter anvendes til andet end behandling af den pågældende og formål, der har en umiddelbar tilknytning hertil, og i den forbindelse få tilbudt vejledning og hjælp til registrering i Vævsanvendelsesregisteret, hvis det ønskes.

Det skal bemærkes, at der med den foreslåede ordning er tale om en informationspligt for den behandlende sundhedsperson.

Med den foreslåede bestemmelse bemyndiges sundhedsministeren endvidere til at kunne fastsætte nærmere regler om, hvordan patienten skal informeres om sin selvbestemmelsesret.

Det fremgår af lovforslagets afsnit 2.2.4 og af bemærkningerne til § 1, nr. 7, at det er hensigten at udmønte bemyndigelsen ved at fastsætte regler, der sikrer, at information til patienter om deres selvbestemmelsesret over genetiske oplysninger gives på en ensartet måde på tværs af landet. Desuden skal reglerne sikre, at patienten informeres om muligheden for, at patienten enten kan tilmelde sig Vævsanvendelsesregisteret via en blanket, som eventuelt kan udfyldes i forbindelse med patientbehandlingen eller ved, at patienten selv kan tilmelde sig Vævsanvendelsesregisteret senere, f.eks. via en elektronisk NemID løsning.

Det er klart, at der forudsættes et kendskab til Vævsanvendelsesregisteret for at en patient reelt kan benytte sig af sin selvbestemmelsesret over genetiske oplysninger og biologisk materiale. Derfor vil det som led i udmøntningen af den foreslåede § 1, nr. 7, blive sikret, at der sker en væsentlig forbedring af den generelle information om patienters selvbestemmelsesret over henholdsvis genetiske oplysninger, som er udledt af biologisk materiale i forbindelse med behandling, og som opbevares af Nationalt Genomcenter, samt biologisk materiale, som opbevares i det øvrige sundhedsvæsen.

Derudover fremgår det af Politisk aftale om Forslag til Lov om ændring af sundhedsloven (Organiseringen i Sundheds- og Ældreministeriet, oprettelse af Nationalt Genomcenter m.v.) af den 22. januar 2018, at Sundheds- og Ældreministeriet vil undersøge mulighederne for, at selvbestemmelsesretten kan gælde forskellige anvendelser af de genetiske oplysninger (differentieret selvbestemmelse/frabedelsesmodel).

Med det lovforslag, som er fremsat, vil en patients beslutning om, at vedkommendes genetiske oplysninger, som er udledt af biologisk materiale, og som opbevares i Nationalt Genomcenter, kun må anvendes til behandling og formål, der har en umiddelbar tilknytning hertil betyde, at brug af oplysninger til alle andre formål afskæres.

For så vidt angår mindreåriges retsstilling i forbindelse med patientbehandling, er denne reguleret af sundhedsloven.

Det følger i dag af sundhedslovens § 17, stk. 1, at en patient, der er fyldt 15 år, som udgangspunkt selv kan give informeret samtykke til behandling, men forældremyndighedsindehaveren skal tillige have information og inddrages i den mindreåriges stillingtagen.

Det foreslås med lovforslagets § 1, nr. 1, at fastsætte, at en patient, der er fyldt 15 år, kan træffe beslutning om anvendelse af biologisk materiale og genetiske oplysninger, der er udledt af biologisk materiale, efter bestemmelserne i sundhedslovens §§ 28-35.

Den foreslåede ordning indebærer, at en patient, der er fyldt 15 år, selv kan træffe beslutning om anvendelse af biologisk materiale, som patienten afgiver eller har afgivet i forbindelse med patientbehandling. Den foreslåede ordning indebærer endvidere, at en patient, der er fyldt 15 år selv kan træffe beslutning om anvendelse af genetiske oplysninger, der er udledt af biologisk materiale, og som opbevares i Nationalt Genomcenter.

En patient, der er fyldt 15 år, kan således beslutte, at vedkommendes genetiske oplysninger, som er udledt af biologisk materiale i forbindelse med behandling, og som opbevares af Nationalt Genomcenter, kun må anvendes til behandling af den pågældende og til formål, der har en umiddelbar tilknytning hertil.

Der vil endvidere blive fastsat regler om, at den behandlende sundhedsperson skal informere en patient, der er fyldt 15 år, om vedkommendes selvbestemmelsesret forud for indhentning af patientens samtykke til en behandling, der omfatter genetiske analyse

For børn under 15 år er det forældremyndighedsindehaveren, der giver informeret samtykke til behandling på barnets vegne. Barnet skal informeres og inddrages i drøftelserne af behandlingen, hvis barnet forstår behandlingssituationen, medmindre det kan skade barnet.

Spørgsmål nr. 15:

Ministeren bedes oplyse, om danskeres genetiske oplysninger vil blive sendt til udlandet uden at der informeres om det. I bekræftende fald bedes ministeren oplyse, om der sker inspektion af databehandlerne i udlandet.

Svar:

Det er netop et af formålene med Nationalt Genomcenter og opbygningen af en national infrastruktur til Personlig Medicin at nedbringe behovet for fysisk at sende oplysninger eller biologiske prøver til udlandet. Der arbejdes således på en løsning, hvor data ikke kan tages ud af systemet. Der vil blive arbejdet udelukkende med data i dertil dedikerede sikre analysemiljøer, hvorfra data ikke skal kunne downloades eller eksporteres.

Spørgsmålet om datasikkerhed er helt afgørende for Nationalt Genomcenter, og det uddybes derfor nedenfor.

For at patientens data håndteres ansvarligt skal der oprettes et lukket system med højest mulig sikkerhed. Det betyder bl.a., at der skal være fuld kontrol over hvilke personer, der har adgang til oplysningerne. Der skal være automatiseret logning for at overvåge brugernes adgange og handlinger og potentielle risici. Der skal arbejdes med kryptering på alle niveauer i systemet. Det inkluderer bl.a. netværk og filsystemer.

Nationalt Genomcenter skal, som beskrevet i National Strategi for Personlig Medicin 2017-2020, være med til at sikre det overordnede formål med Personlig Medicin, som er at kunne diagnosticere og klassificere sygdomme bedre, så behandlingen kan tilpasses den enkelte patient.

Data opbevares derfor på en måde, så man ikke direkte kan identificere den enkelte patient i databasen. Formålet betyder dog samtidigt, at man skal kunne gennemføre patientspecifikke analyser, hvilket inkluderer, at man skal kunne opbevare data til selve analyseafviklingen, og til eksempelvis patientens fremtidige behandlingsforløb, i en national genomdatabase. Det er derfor nødvendigt at kunne tilbageføre de opbevarede data til den patient, som data omhandler, for at kunne bruge det i behandlingen igen, når det er relevant.

Som anført i lovforslagets afsnit 2.1.5.2, så fremgår kravene til databeskyttelse bl.a. af databeskyttelsesforordningens artikel 25 om databeskyttelse gennem design og databeskyttelse gennem standardindstillinger, databeskyttelsesforordningens artikel 32 om behandlingssikkerhed og databeskyttelsesforordningens artikel 35 om konsekvensanalyse vedrørende databeskyttelse. Kravene skal tilpasses risikoen, og når der bl.a. samles store datamængder på dette område er risikoen, og dermed kravene, større.

Der er ikke fastlagt en endelig sikkerhedsmodel for den foreslåede oprettelse af Nationalt Genomcenter. Som det fremgår af lovforslaget, vurderer Sundheds- og Ældreministeriet, at Nationalt Genomcenter vil skulle foretage en konsekvensanalyse i overensstemmelse med reglerne i databeskyttelsesforordningens artikel 35. Denne skal foretages forud for den endelige tilrettelæggelse af sikkerhedsløsningen. Som det i øvrigt fremgår af lovforslaget, vil sikkerhedsniveauet løbende skulle tilpasses de aktuelle risici.

Indretningen af sikkerhedsløsningen kan derfor ikke ses som en statisk model, men som et område, der løbende skal tilpasses, også for at imødegå nye sikkerhedstrusler. Desuden er det centralt at være opmærksom på, at en af årsagerne til, at der foreslås oprettet et Nationalt Genomcenter er, at det giver mulighed for at indrette de nye systemer og sikkerhedsmodeller efter principperne om databeskyttelse gennem design og databeskyttelse gennem standardindstillinger. Det giver netop mulighed for at sikre, at der findes en løsning, hvor sikkerhed er et bærende element i modsætning til, hvis man alene videreanvender ældre løsninger, hvor sikkerhedsmodellen ikke har haft det primære fokus.

. / . Den samlede løsning vil blive underlagt et meget højt sikkerhedsniveau. Sikkerheden for Nationalt Genomcenter vil skulle opretholdes gennem en lang række initiativer. Løsningen vil blive baseret på internationale og nationale erfaringer på området. Løsningen kommer til at bygge på de nyeste teknologier og sikkerhedsparadigmer. Løsningen bliver således underlagt et allerede stærkt reguleret område. Det inkluderer fra maj 2018 EU's databeskyttelsesforordning, forslag til databeskyttelsesloven samt sundhedsloven. Derudover vil Nationalt Genomcenter skulle følge internationale sikkerhedsstandarder. Desuden vil Nationalt Genomcenter i samarbejde med Sundhedsdatastyrelsen løbende skulle følge udviklingen af forskellige sikkerhedsmodeller. Ud over privatlivsbeskyttelse skal realiserbarhed i forhold til brugsscenarier, teknologimodenhed og leverandørafhængighed også vurderes. Endelig undersøges muligheden for at se på sikkerhedsmodeller fællesoffentligt. Der henvises i øvrigt til det uddybende notat i bilag om sikkerhed i forbindelse med etablering og drift af den fælles nationale teknologiske infrastruktur for Personlig Medicin.

Fsva. datastrømsanalyse skal det bemærkes, at det fremgår af betænkning nr. 1565 om databeskyttelsesforordningen, at forordningens artikel 30 om fortegnelser ikke i sig selv medfører et krav om større analyser af datastrømme m.v. Men Nationalt Genomcenter vil som dataansvarlig naturligvis skulle føre en fortegnelse over behandlingsaktiviteter i centeret, jf. databeskyttelsesforordningens artikel 30.

Hvad angår spørgsmålet om overførsel af personoplysninger til udlandet kan følgende oplyses:

Nationalt Genomcenter kan kun overføre personoplysninger til et land uden for EU - et såkaldt tredjeland - hvis Nationalt Genomcenter har et lovligt grundlag for at behandle, herunder videregive, oplysningerne. Herudover skal Nationalt Genomcenter sikre, at de særlige regler om overførsel af personoplysninger til tredjelande, dvs. lande uden for EU, i databeskyttelsesforordningens kapitel V iagttages.

Systemet vil dog teknisk betyde, at data ikke fysisk overføres til det andet land, men i stedet betyde, at det vil være muligt fra EU-lande og tredjelande at få kontrolleret adgang til data til fx forskning eller patientbehandling. Det vil ske på en måde, hvor data ikke tages ud af systemet og dermed ikke fysisk forlader Danmark.

Det skal dog bemærkes at begrebet »overførsel« juridisk også kan bestå af en såkaldt »se adgang«. Det betyder, at selvom oplysningerne ikke fysisk forlader Danmark, så kan situationen være omfattet af reglerne om overførsel til tredjelande og kravene, der knytter sig hertil.

NOTAT

Sikkerhed i forbindelse med etablering og drift af den fælles nationale teknologiske infrastruktur for Personlig Medicin

Personlig Medicin omfatter bl.a. brugen af genomdata til behandling af patienter og til forskningsformål. Disse data indeholder helbredsoplysninger og tilhører derfor følsomme personhenførbare sundhedsdata. Der kræves derfor et højt sikkerhedsniveau. Den fælles nationale teknologiske infrastruktur for Personlig Medicin, der skal understøtte genomsekventering og sikker anvendelse af disse data, skal derfor etableres og drives i overensstemmelse med de krav og retningslinjer, der er for håndtering af følsomme personhenførbare sundhedsdata.

Den fælles nationale teknologiske infrastruktur for Personlig Medicin indeholder bl.a. Den Nationale Genomdatabase, High Performance Computing-faciliteter (HPC-faciliteter), genomsekventeringsfaciliteter samt en tværgående teknisk infrastruktur på tværs af disse elementer.

Informationssikkerhed og fysisk sikkerhed skal leve op til gældende love og regler, herunder for nuværende Persondataloven og Sikkerhedsbekendtgørelsen og EU's databeskyttelsesdirektiv. Efter maj 2018 gælder databeskyttelsesforordningen fra EU og i tillæg hertil relevant national lovgivning samt nationale og regionale retningslinjer, vejledninger m.v.

Indeværende notat opsummerer de væsentligste elementer, som arbejdet med sikkerhed i forbindelse med etablering og drift af den fælles nationale teknologiske infrastruktur for Personlig Medicin baseres på:

1. Sundhedsloven og Vejledning om informationssikkerhed

2. EU's Databeskyttelsesforordningen (GDPR)

3. Privacy by Design (Data Protection by Design)

4. International standard til styring af informationssikkerhed

5. Internationale retningslinjer for fysisk sikkerhed

1. Sundhedsloven og Vejledning om informationssikkerhed i sundhedsvæsenet

Arbejdet med at etablere og efterfølgende drive den fælles nationale teknologiske infrastruktur for Personlig Medicin, skal ske inden for rammerne af de principper og retningslinjer vedr. håndtering af følsomme personhenførbare sundhedsdata, der er fastlagt i Sundhedsloven.

Sundhedsdatastyrelsens Vejledning om informationssikkerhed i sundhedsvæsenet (2016) konkretiserer derudover, hvordan dansk lovgivning - herunder Sundhedsloven - skal fortolkes, og kommer med forslag til, hvordan gældende krav og regler samt best practise kan implementeres og efterleves i dette regi.

En central del af arbejdet med sikkerhed omkring den fælles nationale teknologiske infrastruktur for Personlig Medicin baseres derfor både på Sundhedsloven og på yderligere detaljer i Vejledningen om informationssikkerhed i sundhedsvæsenet.

2. EU's Databeskyttelsesforordning (GDPR) samt persondataloven og sikkerhedsbekendtgørelsen og anden relevant lovgivning

På nuværende tidspunkt er det især Persondataloven og tilhørende sikkerhedsbekendtgørelse, der regulerer spørgsmålet om databeskyttelse af personoplysninger i Danmark.

Fra maj 2018 vil det være EU's Databeskyttelsesforordning og tilhørende implementering i dansk lovgivning, herunder det fremsatte forslag til databeskyttelseslov og evt. yderligere relevant dansk lovgivning, der gælder på området.

Alle tekniske komponenter og aktører i samarbejdet om den fælles nationale teknologiske infrastruktur for Personlig Medicin udarbejdes i regi af, og er fremadrettet underlagt Databeskyttelsesforordningen.

Fra Justitsministerens side er der som fortolkningsbidrag udarbejdet en betænkning, der gennemgår konsekvenserne af Databeskyttelsesforordningen i forhold til den gældende retstilstand efter Persondataloven og Databeskyttelsesdirektivet. Krav og retningslinjer i Databeskyttelsesforordningen er endnu ikke indarbejdet i Vejledning om informationssikkerhed i sundhedsvæsenet og vil derfor skulle iagttages særskilt.

En række aktører vil på forskellig vis være involveret i den fælles nationale teknologiske infrastruktur for Personlig Medicin, for at arbejdet med at genomsekventere, analysere og fortolke resultater kan realiseres, og de vil tilsvarende på forskellig vis skulle anvende relateret data. Dette kan både inkludere leverandører af software, hardware og lign., klinikere der fortolker resultaterne, teknisk personale ansat af universiteterne, der vedligeholder HPC-faciliteterne (af GDPR benævnt »controllers« og »processors«, og i dansk regi eksisterende retningslinjer for arbejdet omkring dataansvarlige og databehandlere).

Ved inddragelse af tredjepart vil arbejdet baseres på en struktureret tilgang til at minimere de risici der er forbundet med at inddrage en tredjepart. Som minimum skal tredjeparter overholde de samme retningslinjer og principper, som er opstillet i indeværende notat, men der kan være tilfælde, hvor kravene skærpes yderligere.

3. Databeskyttelse gennem design (Privacy/Data Protection by Design)

Princippet i Databeskyttelsesforordningen om »Privacy by Design« er nyt i forhold til i dag.

Det vil være dog være centralt for designet af den fælles nationale teknologiske infrastruktur for Personlig Medicin.

Som en del af den vedtagne Databeskyttelsesforordning (GDPR) arbejdes der under princippet »Privacy by Design«, som alle nuværende og fremadrettede løsninger og relaterede teknisk infrastruktur skal designes under. Det gælder derfor også for etablering og drift af den fælles nationale teknologiske infrastruktur for Personlig Medicin til varetagelse af området inden for genomsekventering og Personlig Medicin.

Målet er at sikre, at personfølsomme data ikke i sig selv kan henføres direkte til en identificeret eller identificerbar fysisk person. Hermed er koblingen mellem eksempelvis rådata og analyseresultater fra en genomsekventering og personen, disse data vedrører, beskyttet med en nøgle, som sikrer, at alene den der kontrollerer nøglerne, kan identificere den registrerede. Målet er kritisk i både forventede anvendelsesscenarier, men også, og især, ved eventuelle utilsigtede brug af data, ved generelle brud på datasikkerhed eller mulige cyberangreb.

Ved »Privacy by Design« forstås, at beskyttelsen af følsomme personhenførbare data kan forbedres ved som udgangspunkt at designe sin teknologi således, at den reducerer graden af indgriben i de registreredes privatliv. Dette sker typisk ved dels at begrænse både adgangs- og anvendelsesmulighederne for behandling af følsomme personhenførbare data, og dels at sikre en tidlig pseudonymisering af følsomme personhenførbare data.

Pseudonymisering betyder, at data der kan identificere en given person holdes adskilt fra de følsomme data om samme person på en sådan måde, at de ikke længere kan henføres til personen uden brug af supplerende oplysninger og sikkerhed. De supplerende oplysninger skal derfor opbevares separat og skal være underlagt tydelige og gennemsigtige snitflader ift. selve løsningen og den relaterede teknisk infrastruktur samt tilhørende governancestruktur. Disse tiltag er derfor yderst kritiske for beskyttelsen af især følsomme personhenførebare sundhedsdata for området for Personlig Medicin.

Justitsministeriets vejledning om sikkerhed gennem design og standardindstillinger forventes i december 2017.

I tillæg til ovenstående lovgivning vil sundhedsområdet også fra maj 2018 være reguleret af EU's NIS-direktiv, der vedrører beskyttelsen af cybersikkerheden for kritisk infrastruktur. Dette kan også blive relevant for den fælles nationale teknologiske infrastruktur for Personlig Medicin.

4. International standard til styring af informationssikkerhed

Arbejdet med at etablere og drive den fælles nationale teknologiske infrastruktur for Personlig Medicin, skal følge de principper og retningslinjer, der er fastlagt i standarden ISO27001 (international standard til styring af informationssikkerhed). Det inkluderer de særlige forhold, der gælder i relation til følsomheden af personhenførbare sundhedsdata.

Der lægges særlig vægt på standardens fokus på afvejning af de indgående parters risikoprofil versus rette sikkerhedsforanstaltninger og kontrolprocedurer, standardens strenge krav til kontroller versus muligheden for løbende tilpasning i takt med ændringer i organisationen, teknologi og trusselsbilledet, og sidst, at standarden har en fleksibilitet i forhold til, at den kan anvendes sammen med andre rammeværk for informationssikkerhed.

Alle parter, der indgår i den fælles nationale teknologiske infrastruktur for Personlig Medicin, skal således kunne leve op til ISO27001, og dette skal dokumenteres gennem løbende auditeringer.

ISO27001 understøtter et højt niveau for sikkerhed, hvor risikotolerancen for etablering og drift af den fælles nationale teknologiske infrastruktur for Personlig Medicin er 0 og sikkerheds- og databrud ikke kan accepteres. Dette indebærer eksempelvis, at alle sikkerhedskontroller dokumenteres, og skal kunne fremskaffes ved forespørgsel således, at al historik vedr. håndtering af drift og vedligehold ift. blandt andet informationssikkerhed til alle tider kan revideres.

5. Internationale retningslinjer for fysisk sikkerhed

I relation til den fysiske sikkerhed omkring den fælles nationale teknologiske infrastruktur for Personlig Medicin baseres arbejdet på alle ISO27001-sikkerhedskontroller, der vedrører fysisk sikkerhed. Den gælder i særdeleshed de steder, hvor de enkelte involverede HPC-faciliteter og Den National Genomdatabase huses.

Derudover baseres arbejdet på at anvende yderligere sikkerhedskontroller fra NISTstandard (amerikansk standardiseringsorganisation National Institute of Standards and Technology). Kombinationen af ISO27001 og NIST giver en fordel ved beskyttelse af højrisikodata og indebærer blandt andet minimering af adgange, dokumenteret vedligeholdelse af udstyr, kontroller mod katastrofer m.v.

Spørgsmål nr. 16:

Ministeren bedes oplyse, om det med lovforslaget sikres, at der sker et fyldestgørende samtykke fra patienterne til brug af deres genetiske oplysninger.

Svar:

Det er min klare overbevisning, at der er med lovforslaget sikres et fyldestgørende samtykke.

Det er en forudsætning for udmøntningen af bemyndigelsesbestemmelsen om indsamling af genetiske oplysninger til Nationalt Genomcenter, at der enten er givet samtykke til den genetiske analyse i forbindelse med patientbehandling eller er givet samtykke til deltagelse i det konkrete forskningsprojekt, hvori den genetiske analyse indgår.

Lovforslaget sikrer netop, at der vil blive fastsat regler om, at der skal indhentes et skriftligt, informeret samtykke til behandling og diagnosticering, der omfatter genetisk analyse.

Lovforslaget sikrer også, at patienten - forud for samtykket til den genetiske analyse - får information om hhv. opbevaringen af de genetiske oplysninger i Nationalt Genomcenter og patientens selvbestemmelsesret over genetiske oplysninger, der opbevares i Nationalt Genomcenter. Der vil blive fastsat regler om denne information med henblik på sikre, at den foregår ensartet på tværs af landet og sker som en samlet og integreret del af patientens samtykke til patientens behandling.

Dernæst sikrer lovforslaget, at videregivelsen af genetiske oplysninger til Nationalt Genomcenter sker på et klart defineret lovgrundlag, og at rammerne for behandlingen af oplysningerne i Nationalt Genomcenter er klart afgrænset ved lov.

Hertil skal det dog bemærkes, at reguleringen af videregivelsen til Nationalt Genomcenter kunne have stået tydeligere i lovforslagets bemærkninger. Der burde have stået, at sundhedsministeren kan fastsætte regler, der forpligter de nævnte aktører til at videregive genetiske oplysninger til Nationalt Genomcenter uden yderligere samtykke fra patienten.

Med ordet »yderligere« havde det fremgået tydeligt, at patienten allerede havde samtykket til genomsekventeringen.

Lovforslaget indebærer endvidere, at Nationalt Genomcenter ikke kan indsamle genetiske oplysninger, som er udledt af biologisk materiale før centerets oprettelse, medmindre vedkommende selv ønsker det.

Den foreslåede oprettelse af Nationalt Genomcenter sker som led i realiseringen af National Strategi for Personlig Medicin 2017-2020. Strategien fokuserer på udviklingen af Personlig Medicin i det danske sundhedsvæsen til gavn for patienterne, og den foreslåede oprettelse af Nationalt Genomcenter skal dermed ses som et led i denne udvikling.

Den foreslåede oprettelse af Nationalt Genomcenter skal således ses i sammenhæng med det eksisterende sundhedsvæsen, hvor udviklingen af Personlig Medicin allerede er i gang. Der er således ikke tale om et særskilt projekt afgrænset fra sundhedsvæsnets dagligdag. Den juridiske ramme for centerets virke og anvendelse af genetiske oplysninger, som fremgår af lovforslaget, ligger derfor i forlængelse af den generelle juridiske ramme, der eksisterer for anvendelsen af oplysninger i sundhedsvæsenet, herunder især i sundhedsloven.

Formålet med Nationalt Genomcenter er at understøtte udviklingen af Personlig Medicin i samarbejde med det danske sundhedsvæsen, forskningsinstitutioner, patientforeninger m.v. Det overordnede formål med Personlig Medicin er at kunne diagnosticere og klassificere sygdomme bedre, så behandlingen kan tilpasses den enkelte patient. Dermed er der mulighed for, at behandlingens virkning øges, og at bivirkninger mindskes.

Den videre udvikling af Personlig Medicin i Danmark forudsætter, at der i sundhedsvæsenet og i forskningsverdenen er kapacitet til at kunne behandle omfangsrige og stigende informationsmængder.

Den kapacitet, som vi har i dag, består i vid udstrækning af forskellige typer af lokale infrastrukturelle løsninger i regi af de enkelte afdelinger, sygehuse, regioner eller universiteter. Disse lokale infrastrukturelle løsninger er ikke bygget med henblik på anvendelse på tværs af sundhedsvæsenet eller efter fælles standarder, sikkerhedsløsninger m.v.

Der er således behov for en målrettet og sikker fælles, landsdækkende informationsinfrastruktur, der kan håndtere de krav som sundhedsvæsenet stiller, og i stigende grad forventes at stille, til at kunne behandle store informationsmængder som led i diagnostik og behandling.

Det fremgår af lovforslagets § 1, nr. 22 (vedrørende den foreslåede § 223, stk. 2, 1. pkt.), at Nationalt Genomcenter vil skulle udvikle og drive en fælles, landsdækkende informationsinfrastruktur for Personlig Medicin, herunder en landsdækkende infrastruktur til udførelse af genomsekventering samt opbevaring af oplysningerne i en national genomdatabase.

Nationalt Genomcenter vil således være en del af løsningen på de behov og udfordringer, som det danske sundhedsvæsen står over for med henblik på at kunne understøtte udviklingen af Personlig Medicin og hermed tilbyde patienterne en mere præcis diagnostik og behandling.

Dermed vil det kunne sikres, at sundhedspersoner på ensartet vis vil kunne anvende og analysere genetiske oplysninger og helbredsoplysninger i sammenhæng med andre oplysninger til brug for patientbehandling.

Derudover vil den fælles, landsdækkende informationsinfrastruktur kunne bidrage til at sikre, at der kan gennemføres statistiske eller videnskabelige undersøgelser, der har til formål at understøtte udviklingen af ny viden inden for Personlig Medicin - og dermed ny og bedre behandling og diagnosticering af patienterne.

Endelig vil den fælles, landsdækkende informationsinfrastruktur kunne medvirke til, at behandlingen af de oplysninger, der er nødvendige og relevante for udviklingen af Personlig Medicin, kan foregå i Danmark. Andre lande har valgt strategier, hvor patienternes prøver f.eks. sendes til et andet land eller til private virksomheder for at blive behandlet og oplysningerne analyseret m.v. Det er ikke den danske model. Derfor lægges der med lovforslaget op til at skabe en ramme for, at den relevante analyse og opbevaring kan ske i offentligt dansk regi.

Til at sikre, at oplysningerne, herunder genetiske oplysninger og helbredsoplysninger, behandles og opbevares på et gennemsigtigt grundlag, er det Sundheds- og Ældreministeriets vurdering, at det dataretlige ansvar bør forankres i offentligt regi, og at dette bør ske i en dedikeret myndighed, der får pålagt dette ansvar inden for klare rammer. Med lovforslaget foreslås dette at ske gennem oprettelse af Nationalt Genomcenter.

Nationalt Genomcenters behandling af oplysninger, herunder genetiske oplysninger og oplysninger om helbredsmæssige forhold, vil skulle ske i overensstemmelse med gældende ret, f.eks. relevante regler i sundhedsloven, komitéloven, databeskyttelsesforordningen og forslag til databeskyttelsesloven, og i overensstemmelse med de i lovforslaget foreslåede bestemmelser om selvbestemmelse, formålsbegrænsning m.v.

Det skal således understreges, at rammerne for Nationalt Genomcenters håndtering af personoplysninger ikke udelukkende fremgår af lovforslaget, men at lovforslaget skal ses i sammenhæng med eksisterende lovgivning.

Fsva. en patients samtykke til behandling vil Nationalt Genomcenter skulle overholde de gældende regler herom i sundhedsloven.

Det fremgår af lovforslagets afsnit 2.2.4, at det - for at sikre patienters selvbestemmelsesret i forbindelse med patientbehandling, der omfatter genetisk analyse - er hensigten at fastsætte regler med hjemmel i den allerede gældende bestemmelse i sundhedslovens § 15, stk. 5, om, at et samtykke til behandling, der indebærer genetisk analyse, skal være skriftligt, og at det skal indeholde stillingtagen til håndtering af sekundære fund (også kaldet tilfældighedsfund).

Formålet med at fastsætte regler om, at et samtykke til behandling, der indebærer genetisk analyse, skal være skriftligt, er at sikre dokumentation for, at patienten udtrykkeligt har givet samtykke til den behandling, der indebærer genetiske analyse, og til håndtering af sekundære fund.

Forud for, at en patient samtykker til at få foretaget en genetisk analyse i forbindelse med den pågældendes behandling, vil patienten blive informeret om, at oplysningerne behandles, herunder opbevares i Nationalt Genomccenter, og at patienten har selvbestemmelsesret over de genetiske oplysninger, der opbevares i Nationalt Genomcenter.

Det skal i den forbindelse bemærkes, at oplysninger, der tilgår Nationalt Genomcenter på baggrund af patientbehandling, betragtes som en del af den kliniske infrastruktur i sundhedsvæsenet. Det fremgår af lovforslagets bemærkninger.

Oplysningerne skal efterfølgende skal kunne anvendes til den videre konkrete behandling af patienten, til dokumentation af patientbehandlingen, samt i forbindelse med tilsyns-, klage- og erstatningssager m.v.

Det skal i øvrigt bemærkes, at patientens selvbestemmelsesret over egne genetiske oplysninger, når disse opbevares i Nationalt Genomcenter, er styrket i forhold til, hvis de selvsamme oplysninger fortsat opbevares decentralt i sundhedsvæsenet.

Det skal bemærkes, at oplysninger, der tilgår Nationalt Genomcenter, herunder genetiske oplysninger og oplysninger om helbredsmæssige forhold, kun må behandles, hvis det er nødvendigt med henblik på forebyggende sygdomsbekæmpelse, medicinsk diagnose, sygepleje, patientbehandling eller forvaltning af læge- og sundhedstjenester, og behandlingen af oplysningerne foretages af en person inden for sundhedssektoren, der efter lovgivningen er undergivet tavshedspligt, eller hvis behandlingen alene sker med henblik på at udføre statistiske eller videnskabelige undersøgelser af væsentlig samfundsmæssig betydning, og hvis behandlingen er nødvendig af hensyn til udførelsen af undersøgelserne.

Spørgsmål nr. 21:

Ministeren bedes oplyse, om ministeren mener, at lovforslaget lever op til persondataforordningens ret til at blive glemt.

Svar:

Lovforslaget vurderes at kunne vedtages inden for rammerne af databeskyttelsesforordningen.

Fsva. angår »retten til at blive glemt«, fremgår det af databeskyttelsesforordningens artikel 17, stk. 1, at den registrerede har ret til at få personoplysninger om sig selv slettet af den dataansvarlige uden unødig forsinkelse, og den dataansvarlige har pligt til at slette personoplysninger uden unødig forsinkelse, i de tilfælde, der er nævnt i bestemmelsen, herunder bl.a. hvis personoplysningerne ikke længere er nødvendige til at opfylde de formål, hvortil de blev indsamlet eller på anden vis behandlet (»retten til at blive glemt«).

Nationalt Genomcenter vil skulle behandle anmodninger om at få slettet personoplysninger i overensstemmelse med databeskyttelsesforordningens regler.

Der gælder imidlertid en række undtagelser fra den registreredes ret til sletning, jf. databeskyttelsesforordningens artikel 17, stk. 3. Retten til at få slettet oplysninger gælder bl.a. ikke, hvis behandlingen af personoplysningerne er nødvendig for at overholde en retlig forpligtelse, der følger af medlemsstaternes nationale ret, eller som henhører under offentlig myndighedsudøvelse, som den dataansvarlige har fået pålagt.

Retten til at få slettet oplysninger gælder heller ikke i det omfang behandlingen er nødvendig af hensyn til samfundsinteresser på folkesundhedsområdet i overensstemmelse med artikel 9, stk. 2, litra h og i, samt artikel 9, stk. 3, eller hvis behandlingen er nødvendig til arkivformål i samfundets interesse, til videnskabelige eller historiske forskningsformål eller til statistiske formål i overensstemmelse med artikel 89, stk. 1, i det omfang den rettighed, der er omhandlet i stk. 1, sandsynligvis vil gøre det umuligt eller i alvorlig grad hindre opfyldelse af denne behandling.

Det følger af bestemmelsen i § 223 b, jf. lovforslagets § 1, nr. 22, at oplysninger i Nationalt Genomcenter kun må behandles, hvis det er nødvendigt med henblik på forebyggende sygdomsbekæmpelse, medicinsk diagnose, sygepleje, patientbehandling eller forvaltning af læge- og sundhedstjenester, og behandlingen af oplysningerne foretages af en person inden for sundhedssektoren, der efter lovgivningen er undergivet tavshedspligt, eller hvis behandlingen alene sker med henblik på at udføre statistiske eller videnskabelige undersøgelser af væsentlig samfundsmæssig betydning, og hvis behandlingen er nødvendig af hensyn til udførelsen af undersøgelserne.

Denne bestemmelse kan vedtages inden for rammerne af bl.a. databeskyttelsesforordningens artikel 9, stk. 2, litra h, og artikel 9, stk. 3, jf. lovforslagets afsnit 5.

De ovennævnte undtagelser fra retten til at få slettet sine personoplysninger - herunder bl.a. hvis behandlingen er nødvendig af hensyn til samfundsinteresser på folkesundhedsområdet, eller hvis behandlingen er nødvendig til videnskabelige forskningsformål eller til statistiske formål - vil betyde, at Nationalt Genomcenter i meget få tilfælde vil være forpligtet til at slette personoplysninger om registrerede personer i Nationalt Genomcenter.

Behandlingen i Nationalt Genomcenter skal endvidere leve op til de grundlæggende principper i databeskyttelsesforordningens artikel 5.

Databeskyttelsesforordningens artikel 5 fastlægger en række grundlæggende behandlingsprincipper, der skal være opfyldt ved al behandling af personoplysninger, herunder bl.a., at personoplysninger skal behandles lovligt, rimeligt og på en gennemsigtig måde i forhold til den registrerede, at personoplysninger skal være tilstrækkelige, relevante og begrænset til, hvad der er nødvendigt i forhold til de formål, hvortil de behandles og at personoplysninger skal opbevares på en sådan måde, at det ikke er muligt at identificere de registrerede i et længere tidsrum end det, der er nødvendigt til de formål, hvortil de pågældende personoplysninger behandles.

Nationalt Genomcenter vil skulle iagttage disse principper, når centeret behandler personoplysninger.

Det skal bemærkes, at det fremgår af den foreslåede § 1, nr. 22 (vedrørende den foreslåede § 223 a, stk. 1), at der kun kan fastsættes regler om videregivelse af genetiske oplysninger og oplysninger om helbredsmæssige forhold til Nationalt Genomcenter i det omfang, at oplysningerne er nødvendige for gennemførelsen af centerets opgaver. Det betyder bl.a., at der vil skulle foretages en proportionalitetsvurdering forinden en bekendtgørelse vil blive udstedt i medfør af den foreslåede § 1, nr. 22 (vedrørende den foreslåede § 223 a, stk. 1), om indsamling af genetiske oplysninger og oplysninger om helbredsmæssige forhold til Nationalt Genomcenter.

Derudover vil Nationalt Genomcenter konkret skulle tage stilling til spørgsmålet om længden af det tidsrum, hvori det er nødvendigt at opbevare identificerbare oplysninger i centeret, inden de pågældende oplysninger vil skulle slettes, anonymiseres eller arkiveres.

I forbindelse med behandlingen af oplysninger i Nationalt Genomcenter vil reglerne i databeskyttelsesforordningen om oplysningspligt tillige skulle iagttages.

I den situation, hvor en forsker indsamler personoplysninger direkte hos en forsøgsperson i forbindelse med et forskningsprojekt, skal forskeren overholde reglerne om oplysningspligt i databeskyttelsesforordningens artikel 13.

Det følger således af databeskyttelsesforordningens artikel 13, stk. 1, at når en dataansvarlig indsamler personoplysninger hos den registrerede, skal den dataansvarlige give den registrerede en række oplysninger på tidspunktet for indsamlingen, herunder bl.a. oplysning om eventuelle modtagere eller kategorier af modtagere af personoplysningerne, jf. 13, stk. 1, litra e.

Den dataansvarlige skal herudover, efter en konkret vurdering, give den registrerede en række yderligere oplysninger, som er nævnt i artikel 13, stk. 2, i det omfang oplysningerne er nødvendige for at sikre en rimelig og gennemsigtig behandling.

I det omfang de genetiske oplysninger, som indsamles hos forsøgspersonen i forbindelse med forskningsprojektet, skal videregives til Nationalt Genomcenter, vil den dataansvarlige forsker skulle opfylde sin oplysningspligt efter databeskyttelsesforordningen artikel 13, og i den forbindelse bl.a. oplyse forsøgspersonen om, at de genetiske oplysninger, som indgår i forskningsprojektet, vil blive videregivet til Nationalt Genomcenter.

Når en sundhedsperson indsamler personoplysninger hos en patient i forbindelse med patientbehandling, skal sundhedspersonen ligeledes overholde databeskyttelsesforordningens regler om oplysningspligt.

Det bemærkes dog, at det fremgår af databeskyttelsesforordningens artikel 13, stk. 4, at artikel 13, stk. 1, 2 og 3, ikke finder anvendelse, hvis og i det omfang den registrerede allerede er bekendt med oplysningerne.

Herudover kan der henvises til, at der i forslaget til databeskyttelsesloven, som i øjeblikket forhandles i Folketinget, er en række undtagelser til oplysningspligten, som i det væsentligste svarer til undtagelserne i gældende ret.

Spørgsmål nr. 23:

Ministeren bedes oplyse, om ministeren kan bekræfte, at ministerens bemyndigelse i § 223a til at pålægge myndigheder at videregive oplysninger uden borgerens samtykke er meget omfattende, idet der findes mange data, som kan være relevante for Nationalt Genomcenters opgavevaretagelse.

Svar:

Først skal det understreges, at Nationalt Genomcenter kun vil kunne pålægge aktører at videregive genetiske oplysninger fra henholdsvis patienter og forsøgspersoner, der har samtykket til at få foretaget en genetisk analyse i forbindelse med patientbehandlingen eller forskningsprojektet.

Indledningsvist skal jeg bemærke, at det kunne have stået tydeligere i lovforslagets bemærkninger. Der burde have stået, at sundhedsministeren kan fastsætte regler, der forpligter de nævnte aktører til at videregive genetiske oplysninger til Nationalt Genomcenter uden yderligere samtykke fra patienten.

Med ordet »yderligere« havde det fremgået tydeligt, at patienten allerede havde samtykket til genomsekventeringen.

Det er en forudsætning for udmøntningen af bemyndigelsesbestemmelsen om indsamling af genetiske oplysninger til Nationalt Genomcenter, at der enten er givet samtykke til den genetiske analyse i forbindelse med patientbehandling eller er givet samtykke til deltagelse i det konkrete forskningsprojekt, hvori den genetiske analyse indgår.

Den foreslåede bemyndigelsesbestemmelse indebærer således, at sundhedsministeren kan fastsætte regler, der forpligter til videregivelse af genetiske oplysninger og oplysninger om helbredsmæssige forhold til Nationalt Genomcenter uden yderligere samtykke fra patienten.

Som det fremgår af lovforslagets § 1, nr. 22 (vedrørende den foreslåede § 223 a, stk. 1), vil sundhedsministeren kunne fastsætte regler om, at der påhviler visse aktører en pligt til at give Nationalt Genomcenter genetiske oplysninger, som er udledt af biologisk materiale efter oprettelsen af Nationalt Genomcenter, og oplysninger om helbredsmæssige forhold, i det omfang oplysningerne er nødvendige for gennemførelsen af centerets opgaver.

Som angivet med kursiv fastsætter bemyndigelsesbestemmelsen i sig selv nogle begrænsninger for, hvilke oplysninger der kan indsamles til Nationalt Genomcenter:

Indsamlingen af de pågældende genetiske oplysninger og helbredsoplysninger skal være nødvendig for gennemførelsen af centeret opgaver. Heri ligger, at den pågældende indsamling skal være proportional.

Indsamlingen af genetiske oplysninger begrænses til en fremadrettet indsamling, dvs. genetiske oplysninger som er udledt efter oprettelsen af centeret.

Desuden fremgår det af lovforslagets afsnit 2.2.2, at Nationalt Genomcenter ikke kan indsamle genetiske oplysninger fra registerforskningsprojekter med biologisk materiale - populært kaldet biobankforskning - hvor en videnskabsetisk komité har dispenseret fra kravet om samtykke efter komitélovens § 10.

Endelig fremgår det af bemærkningerne til § 1, nr. 22, at der i første omgang vil blive fastsat regler om indsamling af helbredsoplysninger og genetiske oplysninger, som er genereret på sygehuse eller i lægepraksis i forbindelse med patientbehandling, og hvor der på grund af mængden af genotypiske oplysninger (oplysninger om menneskers gener) og/eller fænotypiske oplysninger (oplysninger om menneskers sundheds- og sygdomsbillede) er behov for, at der kan foretages analyser m.v. med det formål at kunne tilrettelægge en mere præcis og målrettet behandling af den enkelte patient, jf. målsætningerne herom i National Strategi for Personlig Medicin 2017-2020.

Bemyndigelsesbestemmelsen giver samtidigt mulighed for at fastsætte krav til de indberettende aktører om, hvilke formater, kadencer m.v. at oplysningerne skal indberettes i, så det sker efter ens standarder og så oplysningerne kan anvendes til formålet. Det sker på tilsvarende vis for andre fælles infrastrukturer, registre m.v., hvor ministeren har bemyndigelse til at fastsætte krav herom.

Grunden til at bemyndigelsesbestemmelsen både omfatter genetiske oplysninger og helbredsoplysninger er for at sikre, at Nationalt Genomcenter vil kunne følge med udviklingen af Personlig Medicin og håndtere de behov, som sundhedsvæsenet står over for. F.eks. kan det være yderst relevant at inddrage helbredsoplysninger i form af oplysninger om patientens tidligere sygdomme sammen med den genetiske analyse med henblik på diagnostik og behandlingsvalg.

Grunden til at de nævnte aktører i bemyndigelsesbestemmelsen (institutioner under Sundheds- og Ældreministeriet, regionsråd, kommunalbestyrelser, autoriserede sundhedspersoner og de private personer eller institutioner, der driver sygehuse m.v.) forpligtes til at videregive førnævnte oplysninger til Nationalt Genomcenter er for at sikre, at sundhedsvæsenets parter anvender Nationalt Genomcenter, herunder den fælles landsdækkende informationsinfrastruktur, hvormed behandling af genetiske oplysninger sker under høj sikkerhed. Dermed nedbringes også en ukoordineret udbygning af mange forskellige uensartede løsninger på tværs af landet.

Derudover er der lavet den begrænsning, at der ikke kan fastsættes regler om pligt til at videregive genetiske oplysninger fra registerforskningsprojekter, hvori der er dispenseret fra kravet om samtykke efter komitélovens § 10.

Ud over den pligtmæssige indsamling af genetiske oplysninger og helbredsoplysninger til Nationalt Genomcenter har Sundheds- og Ældreministeriet vurderet, at der bør være mulighed for, at borgere, der har fået foretaget en genetisk analyse før oprettelsen af Nationalt Genomcenter, frivilligt kan overlade genetiske oplysninger, som er udledt af biologisk materiale, til Nationalt Genomcenter.

Derfor foreslås det med lovforslagets § 1, nr. 22 (vedrørende den foreslåede § 223 a, stk. 2), at sundhedsministeren vil kunne fastsætte regler om, at genetiske oplysninger, der er udledt af biologisk materiale, kan overlades til Nationalt Genomcenter, hvis borgeren udtrykkeligt anmoder herom.

Afslutningsvist skal det bemærkes, at et tilbud om at få foretaget en genetisk analyse i sundhedsvæsenet, hvorefter analysen behandles og opbevares i sundhedsvæsenet skal ses som en integreret proces. Sådan foregår det allerede i dag i sundhedsvæsenet, hvis du skal have lavet forskellige analyser, fx til brug for din diagnosticering. Nationalt Genomcenter er ikke et adskilt projekt fra resten af sundhedsvæsenet, men en vigtig del af fremtidens danske sundhedsvæsens kliniske hverdag.

Det at kunne behandle genetiske oplysninger i den kliniske infrastruktur i Nationalt Genomcenter er en integreret del af at kunne tilbyde diagnostik og behandling i det danske sundhedsvæsen: Oplysningerne skal efterfølgende kunne anvendes til den videre konkrete behandling af patienten, til dokumentation af patientbehandlingen samt i forbindelse med tilsyns-, klage- og erstatningssager m.v. Det er ikke muligt at gennemføre diagnostik eller behandling på baggrund af en genetisk analyse, uden at oplysningerne efterfølgende behandles og opbevares. Dette vil med lovforslaget fremadrettet kunne ske i Nationalt Genomcenter. Der er således tale om en samlet og integreret proces i sundhedsvæsenet.

Spørgsmål nr. 30:

Ministeren bedes bekræfte, at data fra Nationalt Genomcenter udelukkende kan anvendes til de i lovforslaget fastsatte formål, og at ingen andre myndigheder - herunder f.eks. politiet - kan gives adgang til dataene.

Svar:

Oplysninger i Nationalt Genomcenter vil kun kunne behandles til de formål, der følger af den foreslåede lovbestemte formålsbegrænsning, og politiet vil ikke i almindelighed kunne få adgang til oplysningerne i Nationalt Genomcenter.

Med det lovforslag som er fremsat, vil det dog ikke kunne afvises, at en dommer i en ekstraordinær situation, fx til brug for forebyggelse af et forestående terrorangreb, vil kunne give politiet en retskendelse, der pålægger Nationalt Genomcenter at oplyse identiteten på en person med en bestemt dna-profil.

For at sikre fuld gennemsigtighed med formålet med Nationalt Genomcenters behandling af oplysninger, herunder genetiske oplysninger og helbredsoplysninger, foreslås det med lovforslaget, at Nationalt Genomcenters behandling underlægges en lovbestemt formålsbegrænsning.

Det fremgår således af lovforslagets § 1, nr. 22, vedrørende den foreslåede § 223 b, at oplysninger, der tilgår Nationalt Genomcenter, herunder genetiske oplysninger og oplysninger om helbredsmæssige forhold, kun må behandles, hvis det er nødvendigt med henblik på forebyggende sygdomsbekæmpelse, medicinsk diagnose, sygepleje, patientbehandling eller forvaltning af læge- og sundhedstjenester, og behandlingen af oplysningerne foretages af en person inden for sundhedssektoren, der efter lovgivningen er undergivet tavshedspligt, eller hvis behandlingen alene sker med henblik på at udføre statistiske eller videnskabelige undersøgelser af væsentlig samfundsmæssig betydning, og hvis behandlingen er nødvendig af hensyn til udførelsen af undersøgelserne.

Formålene forebyggende sygdomsbekæmpelse, medicinsk diagnose, sygepleje, patientbehandling eller forvaltning af læge- og sundhedstjenester svarer til de formål, der er nævnt i § 7, stk. 3, i forslag til databeskyttelsesloven. Fælles for de nævnte formål er, at de omhandler behandling af oplysninger på sundhedsområdet.

Statistiske eller videnskabelige undersøgelser svarer til de formål, der følger dels af § 10 i forslag til databeskyttelsesloven, dels de bestemmelser i sundhedsloven, komitéloven og i lov om kliniske forsøg med lægemidler, der vedrører behandling til forskningsmæssige formål.

Den lovbestemte formålsbegrænsning indebærer således, at Nationalt Genomcenter alene kan behandle oplysninger, som er tilgået centeret, til formål, der vedrører sundhedsvæsenet eller til videnskabelige eller statistiske formål.

Som det fremgår af bemærkningerne til § 1, nr. 22, underlægges oplysninger i Nationalt Genomcenter mere restriktive regler, end de regler, der i øvrigt gælder for behandling af sådanne oplysninger i lokalt regi.

Det betyder bl.a., at oplysninger, herunder genetiske oplysninger og oplysninger om helbredsmæssige forhold, kun må videregives til de formål, der fremgår af førnævnte bestemmelse.

Nationalt Genomcenter vil eksempelvis ikke kunne behandle oplysninger med hjemmel i databeskyttelsesforordningens artikel 9, stk. 2, litra f, hvorefter behandling af følsomme oplysninger kan ske, hvis behandlingen er nødvendig for, at et retskrav kan fastlægges, gøres gældende eller forsvares. Det følger samtidigt af lovforslagets afsnit 2.2.3, at den lovbestemte formålsbegrænsning dog ikke vil være til hinder for, at Nationalt Genomcenter videregiver oplysninger til brug for behandling af klage- og erstatningssager i medfør af lov om klage- og erstatningsadgang inden for sundhedsvæsenet eller til brug for Styrelsen for Patientsikkerheds varetagelse af tilsynsopgaver efter autorisationsloven eller sundhedsloven. Det skal i den forbindelse bemærkes, at behandling af klage- og erstatningssager inden for sundhedsvæsenet er væsentlig i forhold til at sikre patienternes retsstilling.

Oplysningerne i Nationalt Genomcenter vil dermed ikke kunne videregives til brug for fastlæggelse af et retskrav i en forsikringssag- eller pensionssag. Derudover vil oplysninger i Nationalt Genomcenter ikke kunne videregives til arbejdsgivere med henblik på, at de kan få belyst en lønmodtagers arbejdsdygtighed.

En patient vil heller ikke kunne meddele samtykke til, at Nationalt Genomcenter behandler genetiske oplysninger eller oplysninger om helbredsmæssige forhold til formål, der ligger uden for de formål, der er nævnt i bestemmelsen.

Derudover vil den foreslåede lovbestemte formålsbegrænsning heller ikke være til hinder for, at Nationalt Genomcenter foretager anmeldelse til politiet, hvis Nationalt Genomcenter har mistanke om, at sundhedspersoner eller andre personer uberettiget har indhentet eller videregivet oplysninger, der er opbevaret i Nationalt Genomcenter, jf. bemærkningerne til den foreslåede § 1, nr. 22.

Som det fremgår af ovenstående, er Nationalt Genomcenters behandling, herunder indsamling af oplysninger, således underlagt en række retlige begrænsninger.

For så vidt angår oplysninger i Nationalt Genomcenter vil sundhedspersoner i den kliniske del af den fælles landsdækkende informationsinfrastruktur være omfattet af rammerne i sundhedslovens kapitel 9. Der henvises i den forbindelse til lovforslagets afsnit 2.1.1.2 og 2.1.1.3 og bemærkningerne til § 1, nr. 22.

Derudover vil Nationalt Genomcenters videregivelse af oplysninger til forskere fra den del af den fælles landsdækkende informationsinfrastruktur, hvori der opbevares data med henblik på at varetage forskningsformål og statistiske formål navnlig være reguleret af § 10 i forslag til databeskyttelsesloven.

Der henvises i den forbindelse til lovforslagets afsnit 2.1.5 og bemærkningerne til § 1, nr. 22.

Spørgsmål 41:

Ministeren bedes uddybende redegøre for rækkevidden af de beføjelser som den foreslåede bemyndigelsesbestemmelse giver ministeren til at fastsætte regler, der forpligter bestemte aktører til - uden patientens samtykke - at videregive genetiske og helbredsmæssige oplysninger til Nationalt Genomcenter.

Svar:

Indledningsvist skal jeg bemærke, at det kunne have stået tydeligere i lovforslagets bemærkninger. Der burde have stået, at sundhedsministeren kan fastsætte regler, der forpligter de nævnte aktører til at videregive genetiske oplysninger til Nationalt Genomcenter uden yderligere samtykke fra patienten.

Med ordet »yderligere« havde det fremgået tydeligt, at patienten allerede havde samtykket til genomsekventeringen.

Det er en forudsætning for udmøntningen af bemyndigelsesbestemmelsen om indsamling af genetiske oplysninger til Nationalt Genomcenter, at der enten er givet samtykke til den genetiske analyse i forbindelse med patientbehandling eller er givet samtykke til deltagelse i det konkrete forskningsprojekt, hvori den genetiske analyse indgår.

Nationalt Genomcenter kan med lovforslaget få videregivet genetiske oplysninger i de tilfælde, hvor analysen er foretaget efter centerets oprettelse, og hvor den genetiske analyse er foretaget med samtykke i forbindelse med behandling eller hvor, der er afgivet samtykke til det forskningsprojekt, hvori den genetiske analyse indgår.

Fsva. forskning betyder det, at borgeren vil have samtykket til det forskningsprojekt, hvori den genetiske analyse fandt sted samt være informeret om, at oplysningerne opbevares i Nationalt Genomcenter. Nationalt Genomcenter vil alene kunne indsamle genetiske oplysninger fra forskningsprojekter, hvor forsøgspersonen har givet samtykke til at deltage i det pågældende projekt, hvori den genetiske analyse indgår.

Fsva. patientbehandling betyder det, at patienten vil have samtykket til den genetiske analyse, der er foretaget som led i patientens behandling samt være informeret om, at oplysningerne opbevares i Nationalt Genomcenter.

I det tilfælde at en genetisk analyse er foretaget før centerets oprettelse, følger det af lovforslaget, at sundhedsministeren bemyndiges til at kunne fastsætte regler om, at borgere frivilligt kan overlade genetiske oplysninger, som er udledt af biologisk materiale, til Nationalt Genomcenter. Det fremgår af lovforslaget, at der med bestemmelsen kan fastsættes regler om, at borgeren har mulighed for frivilligt - dvs. efter borgerens udtrykkelige anmodning - at overlade sine genetiske oplysninger, der er udledt af biologisk materiale, til opbevaring i Nationalt Genomcenter.

Man kan altså ikke uforvarende få sine genetiske oplysninger overført til Nationalt Genomcenter.

Det skal understreges, at oplysninger, der i dag indsamles i sundhedsvæsenet i forbindelse med patientbehandling, tillige opbevares, uden at patienten meddeler særskilt samtykke til denne opbevaring.

Indsamling af genetiske oplysninger og helbredsoplysninger til Nationalt Genomcenter giver mulighed for, at behandling af disse oplysningerne kan ske i en fælles, dansk infrastruktur til brug for udviklingen af Personlig Medicin. Derudover kan der stilles krav til, hvordan oplysningerne skal videregives til centeret fra de relevante aktører.

Baggrunden for den foreslåede indsamling og opbevaring af genetiske oplysninger og helbredsoplysninger i Nationalt Genomcenter er, at oplysningerne efterfølgende skal kunne anvendes til den videre konkrete behandling af patienten, til dokumentation af patientbehandlingen, samt i forbindelse med tilsyns-, klage- og erstatningssager m.v.

Det at man kan opbevare sådanne oplysninger et fælles sted betyder, at patienten fx ikke skal have gentaget den samme genetiske sekventering næste gang, der er sundhedsfagligt behov for det i forbindelse med patientens behandling, eller hvis der er behov for det i forbindelse med fx en klagesag. Det betyder også, at oplysningerne kan tilgås hurtigt og effektivt af relevante sundhedspersoner, når det er relevant i patientens diagnostik og behandling, samt at man kan tilbyde de samme typer analyser og samme kvalitet på tværs af landet uanset, hvor du er patient. Det nedbringer også behovet for at sende følsomme oplysninger mellem sektorerne i sundhedsvæsenet.

. / . Fsva. rækkevidden af den foreslåede § 1, nr. 22 (vedrørende den foreslåede § 223 a, stk. 1), henvises der til samtidigt svar på SUU spørgsmål nr. 23 (L 146 - forslag til lov om ændring af sundhedsloven (Organiseringen i Sundheds- og Ældreministeriet, oprettelse af Nationalt Genomcenter m.v.)).