Regionen - Tværregionale dokumenter - 1. Ledelse - 1.7 Dokumentation og datastyring Dokumentbrugere: Forfatter: Fri, OUH, Psykiatri, SVS, SLB, SHS Læseadgang: Alle Tværregionale dokumenter Emne: Tværregionale dokumenter Udskrevet er dokumentet ikke dokumentstyret. Retningslinje vedrørende anmeldelsesproceduren for sundhedsvidenskabelig forskning i Region Syddanmark Dokumentansvarlig: Dokument ID / Dokument.nr. 2226 / Version: 1.4 Niveau : Retnin gslinje Godkendt af: Formål 1) 1.1) Anvendelsesområde 1.2) Baggrunden for retningslinjen 1.3) Definitioner Fremgangsmåde 2) 2.1) Generelt om anmeldelse af sundhedsvidenskabelig forskning 2.1.1) Beskrivelse af dataansvar 2.1.2) Kompetencen til at godkende på vegne af Datatilsynet 2.1.3) Udfordringer i forbindelse med overdragelse af godkendelseskompetencen til lokale kontaktpersoner 2.1.4) Beskrivelse af anmeldelsesproceduren og sagsgangen 2.1.5) Tilladelser fra andre myndigheder 2.1.6) Fritagelse for anmeldelse til Datatilsynet 2.1.7) Overladelse, videregivelse og overførsel Dokumentation 3) 3.1) Udarbejdet af Referencer og litteratur 4) 1) Formål Formålet med retningslinjen er, at beskrive den gældende anmeldelsesprocedure for
sundhedsvidenskabelig forskning i Region Syddanmark. 1.1) Anvendelsesområde Retningslinjen er gældende i forbindelse med anmeldelse af sundhedsvidenskabelig forskning i Region Syddanmark. 1.2) Baggrunden for retningslinjen Udarbejdelsen af retningslinjen sker på baggrund af, at de gældende regler i forbindelse med anmeldelsesproceduren for sundhedsvidenskabelig forskning skal beskrives. 1.3) Definitioner Sundhedsforskning: Sundhedsforskning defineres her som forskning rettet mod sygdomsforståelse, diagnostik, behandling, pleje, rehabilitering og forebyggelse af sygdomme, herunder forskning omfattende organisering, innovation og finansiering af disse indsatser, samt klinisk forskning. Dataansvarlig: Den fysiske eller juridiske person, offentlige myndighed, institution eller ethvert andet organ, der alene eller sammen med andre afgør, til hvilket formål og med hvilke hjælpemidler, der må foretages behandling af oplysninger. Databehandler: Den fysiske eller juridiske person, offentlige myndighed, institution eller ethvert andet organ, der behandler oplysninger på den dataansvarliges vegne. Data: Ved data forstås oplysninger om identificerbare personer enten i form af biologiske prøver (eksempelvis i frysere), data i it-sammenhæng, hvor oplysninger ligger på servere og i databaser, og oplysninger på papir eller andre medier. Sletning af data: Når et forskningsprojekt er afsluttet, skal alle personoplysninger slettes eller anonymiseres. Det skal fremgå af Datatilsynets godkendelse, hvornår sletningen skal ske. Hvis projektet også omfatter blod- eller vævsprøver, videooptagelser eller lignende, skal dette materiale destrueres, slettes eller anonymiseres ved projektets afslutning. Elektroniske forskningsdata kan i stedet afleveres til Rigsarkivet. Rigsarkivet indhenter, bevarer og udleverer forskningsdata fra samfundsvidenskab, sundhedsvidenskab og historie. Såfremt der foretages kliniske forsøg med lægemidler på mennesker, eller anmeldelsespligtige forsøg med medicinsk udstyr, er der krav om, at data opbevares 5 år efter forsøgets afslutning. Anonyme data: Ved anonyme data forstås i modsætning til personhenførbare data - data, hvor nøglen til at gøre data personhenførbare uigenkaldeligt er slettet, og det i øvrigt ikke på anden vis er muligt at identificere personen, hverken af personen selv eller forskeren. Pseudonymiserede data: Ved pseudonymiserede data forstås data, hvor nøglen til at gøre data
personhenførbare er til stede, men opbevares adskilt fra data. Logning: Ifølge sikkerhedsbekendtgørelsens 19, stk.1 skal der foretages maskinel registrering (logning) af alle anvendelser af personoplysninger. Registreringen skal mindst indeholde oplysning om tidspunkt, bruger, type af anvendelse og angivelse af den person, de anvendte oplysninger vedrørte, eller det anvendte søgekriterium. Loggen skal opbevares i 6 måneder, hvorefter den skal slettes. Myndigheder med et særligt behov kan opbevare loggen i op til 5 år. Overladelse af data: En overladelse betyder, at der gives oplysninger fra det anmeldte forskningsprojekt til et andet forskningsprojekt inden for Region Syddanmarks organisation. Videregivelse af data: Såfremt der videregives data fra et forskningsprojekt i Region Syddanmark til et projekt udenfor Region Syddanmarks regi, kaldes det en videregivelse. Overførsel af data: Såfremt der ønskes overført oplysninger til en tredjemand i et usikkert tredjeland, kaldes det for en overførsel. Forskningsbiobanker: Forskningsbiobanker er biologisk materiale i biobanker, der er knyttet til konkrete forskningsprojekter. Fremtidige biobanker: Fremtidige biobanker er biobanker uden tilknytning til et konkret forskningsprojekt, men som opbevares med henblik på fremtidig forskning. 2) Fremgangsmåde 2.1) Generelt om anmeldelse af sundhedsvidenskabelig forskning Anmeldelse til Datatilsynet af behandling af personoplysninger, som en region er dataansvarlig for, sker centralt fra den pågældende region. Alt sundhedsvidenskabelig forskning i Region Syddanmark skal i den forbindelse anmeldes som offentlig forskning via den regionale paraplyanmeldelse. Det sikres herigennem, at anmeldelsen er foretaget korrekt. Når kravene vurderes at være opfyldt, får den projektansvarlige en tilladelse til at behandle og opbevare personfølsomme oplysninger i forbindelse med forskningsprojektet under forudsætning af, at vilkårene i tilladelsen overholdes. Paraplyen Sundhedsvidenskabelig forskning i Region Syddanmark dækker over den løbende forskning i sygdomsforebyggelse, sygdomsbehandling og sundhedsfremme, samt klinisk og epidemiologisk forskning inden for en række nærmere beskrevne områder.
Anmeldelsen omfatter også større og længerevarende forskningsdatabaser, kliniske databaser og kliniske projekter. Endvidere er ligeledes omfattet kvalitetsprojekter og kliniske kvalitetsdatabaser, når der er indhentet samtykke fra patienterne. Omfattet af anmeldelsen er desuden forskningsbiobanker og fremtidig biobanker. 2.1.1) Beskrivelse af dataansvar Som udgangspunkt sondres der mellem projekter, der udføres i regi af regioner, i regi af universiteter og private projekter: - Region Syddanmark er dataansvarlig, når projektet udføres i regi af Region Syddanmark. Det vil sige, at Region Syddanmark er dataansvarlig, når data fra regionen anvendes i forbindelse med et sundhedsvidenskabeligt forskningsprojekt, biobank, kvalitetsprojekt eller database. Den konkrete forskningsperson/forskningsansvarlig vil ikke have noget selvstændigt ejerskab over data, men vil altid behandle data på vegne af Region Syddanmark. Der kan dermed ikke være tale om et privat forskningsprojekt, når oplysninger udgår fra Region Syddanmarks regi. - Projekter, der udføres som private projekter, skal i stedet anmeldes direkte til Datatilsynet i København. - Projekter der udføres med SDU som dataansvarlig, skal anmeldes under universitetets egen paraply/fællesanmeldelse. Den projektansvarlige skal have et ansættelsesforhold i Region Syddanmark for at kunne anmelde under paraplyen. Dette skyldes, at den projektansvarlige, på vegne af Region Syddanmark som dataansvarlig, er ansvarlig for overholdelsen af de fastsatte vilkår. Dermed skal der være et ansættelsesforhold i forhold til Region Syddanmark, som er dataansvarlig, i tilfælde af sanktioner og interne instrukser. Et delvis ansættelsesforhold er imidlertid tilstrækkeligt, eksempelvis, hvis man arbejder to forskellige steder. I tilfælde af, at forskeren, som ønsker at anmelde, alene er studerende ved SDU, da kan den pågældendes vejleder anmelde på vegne af den studerende. Oplysningerne skal dog stadigvæk udgå fra Region Syddanmarks regi, det vil sige, at der ikke anmeldes for eksempelvis SDU, private sygehuse såsom Gigthospitalet i Gråsten eller kommuner. Såfremt oplysningerne opbevares eller behandles hos en ekstern databehandler, det vil sige, når data behandles af en tredjepart uden for Region Syddanmarks organisation, fx et firma, som hjælper med at sammenstille data, en ekstern statistiker, SDU eller et eksternt laboratorie, som bidrager med at analysere prøver, skal der indgås en databehandleraftale med den pågældende.
Dette er dog ikke gældende for Rambøll i forbindelse med SurveyXact, hvor der er indgået en generel databehandleraftale centralt fra Regionshuset, som er gældende for alle forskningsprojekter i Region Syddanmark. 2.1.2) Kompetencen til at godkende på vegne af Datatilsynet Ved regionernes dannelse blev proceduren for anmeldelse til Datatilsynet ændret. Hovedtrækket i den ændrede procedure er, at anmeldelsen til Datatilsynet af den offentlige sundhedsforskning sker årligt fra centralt hold via regionerne. Regionernes rolle og ansvar forstærkes deraf. Anmeldelse til Datatilsynet af behandling af personoplysninger, som en region er dataansvarlig for, sker centralt fra den pågældende region. I den anledning har hver region udpeget en kontaktperson, som varetager opgaven med at koordinere og foretage de nødvendige anmeldelser til Datatilsynet. For at forenkle anmeldelsesproceduren har regionerne og Datatilsynet i fællesskab udarbejdet et antal såkaldte paraplyanmeldelser, der omfatter regionernes behandlinger på sundhedsområdet. Formålet med den forenklede procedure er at reducere antallet af anmeldelser på det regionale område samt at medvirke til, at den enkelte region kan bevare overblikket over regionens samlede aktiviteter. Den enkelte forsker/forskningsansvarlig tager kontakt til den lokale kontaktperson på det pågældende sygehus i regionen, som varetager opgaven med at vurdere og registrere regionens forskningsprojekter. De lokale kontaktpersoner har dermed kompetencen til at godkende behandlingen af personoplysninger i forbindelse med sundhedsvidenskabelige forskningsprojekter. For uddybelse af sagsgangen ved anmeldelse kan henvises til dokumentet Sagsgang vedrørende anmeldelse af projekter. Kontakten indledes typisk med en beskrivelse af projektet, og det drøftes, hvordan projektet gennemføres med fokus på behandling af data (opbevaring, adgang, logning, anonymisering/sletning m.v.). Der udleveres evt. en tjekliste med forhold, som den/de projektansvarlige skal være opmærksomme på. I forbindelse med anmeldelsen af sundhedsvidenskabelig forskning kan henvises til dokumenterne Anmeldelsesskema for sundhedsvidenskabelig forskning i Region Syddanmark og Vejledning til udfyldelse af anmeldelsesskemaet for sundhedsvidenskabelige forskning i Region Syddanmark. Herefter registreres projektet på regionens liste i SharePoint over igangværende projekter til Datatilsynet med minimum følgende oplysninger: projektets titel, journalnummer så sagen kan genfindes igen, formål (formålsbeskrivelse), om der indgår biobank i projektet, på hvilket sygehus og afdeling projektet gennemføres, projektets start- og sluttidspunkt, navnet på forskeren, som er ansvarlig for forskning
samt oplysning om, hvorvidt projektet er afsluttet og oplysninger er slettet/anonymiseret/overført til arkiv. Et udtræk af regionens forskningsliste sendes til Datatilsynet én gang årligt fra Regionshuset af. Alle projekter på listen er omfattet af paraplyanmeldelsen til Datatilsynet. For beskrivelse af indtastning i SharePoint kan henvises til dokumentet Vejledning til indtastning i SharePoint. 2.1.3) Udfordringer i forbindelse med overdragelse af godkendelseskompetencen til lokale kontaktpersoner Region Syddanmark har en decentral struktur, hvormed anmeldelsen sker via en lokal kontaktperson ved et konkret sygehus i stedet for centralt fra regionen. Eftersom sygehusene har forskellige ressourcer stillet til rådighed i forbindelse med anmeldelse af sundhedsvidenskabelig forskning, er det ikke alle steder, at anmeldelsesproceduren bliver varetaget af en person med juridisk baggrund eller uddannelse. Dette skaber udfordringer for de kontaktpersoner, der ikke har juridisk baggrund, da der i forbindelse med anmeldelsen kan forekomme juridiske vurderinger i relation til dataansvar, databehandleraftaler, videregivelse/overladelse af oplysninger, anonymisering og generel vejledning i forbindelse med opbevaring af oplysningerne. Særligt i forhold til anonymisering vil der forekomme udfordringer, da anonymisering typisk kræver en delvis juridisk og lægefaglig vurdering. Dermed vil det være hensigtsmæssigt, at kontaktpersonerne har et juridisk kendskab til både persondataloven og sikkerhedsbekendtgørelsen, hvilket kan være vanskeligt for kontaktpersoner at opnå uden den juridiske baggrund eller uddannelse, men vil eksempelvis kunne håndteres af jurastudentermedhjælpere eller lignende. 2.1.4) Beskrivelse af anmeldelsesproceduren og sagsgangen Projektet skal være anmeldt og have tilladelse under regionens paraply for anmeldelse af sundhedsvidenskabelig forskning på vegne af Datatilsynet, inden der begyndes at indsamle og behandle personoplysninger. En tilladelse, fra Datatilsynet ved Region Syddanmark, giver alene adgang til at behandle oplysninger, herunder at registrere og opbevare disse. I forbindelse med en henvendelse fra en forsker gives et anmeldelsesskema, og en dertil tilhørende vejledning, som skal udfyldes af den forskningsansvarlige, og derefter tilsendes anmeldelsesskemaet til den lokale kontaktperson. Den lokale kontaktperson skal herefter gennemgå anmeldelsesskemaet med henblik på, at vurdere om det er i overensstemmelse med den tilhørende vejledning, heriblandt, hvorvidt der skal indgås en databehandleraftale, om tidspunkt og sletningsdato er proportionelle og stemmer overens, og om oplysningerne anvendes til forskning.
Såfremt der ikke er nogen bemærkninger til anmeldelsen tilsendes en godkendelse til den ansvarlige forsker. I den forbindelse skal der benyttes godkendelsesbrevene, som er udfærdiget af Enheden fra Informationssikkerhed. Derefter journaliserer man anmeldelsen/protokollen, korrespondancen, databehandleraftalen og godkendelsen under en sag i Acadre således, at sagen kan genfindes igen. Derefter betragtes anmeldelsen som afsluttet og klar til indtastning i SharePoint, hvormed det betragtes som værende anmeldt til Datatilsynet. 2.1.5) Tilladelser fra andre myndigheder En tilladelse, fra Datatilsynet ved Region Syddanmark, giver alene ret til at behandle oplysninger, herunder at registrere og opbevare disse til det angivne formål. Det forudsættes, at der er tale om lovligt indsamlede oplysninger, samt at alle øvrige nødvendige tilladelser er indhentet. Opmærksomheden skal henledes på de særlige regler for videregivelse af oplysninger fra patientjournaler. Der skal enten indhentes forudgående skriftligt samtykke fra patienterne eller godkendelse fra Videnskabsetisk Komité og/eller Sundhedsstyrelsen (Styrelsen for Patientsikkerhed). Den faktiske videregivelse af oplysningerne kan herefter ske ved, at rette henvendelse til de sundhedspersoner/afdelinger, der har oplysningerne i deres besiddelse. Det vil sige, at udover Datatilsynets tilladelse kan der ligeledes være behov for en tilladelse fra enten Videnskabsetisk komité og/eller Sundhedsstyrelsen (Styrelsen for Patientsikkerhed). Ifølge komitéloven er det kun sundhedsvidenskabelige forskningsprojekter, der skal anmeldes til en videnskabsetisk komité. Komitéloven 2, nr. 1 har følgende definition på et sundhedsvidenskabeligt forskningsprojekt: Sundhedsvidenskabeligt forskningsprojekt: Et projekt, der indebærer forsøg på levendefødte menneskelige individer, menneskelige kønsceller, der agtes anvendt til befrugtning, menneskelige befrugtede æg, fosteranlæg og fostre, væv, celler og arvebestanddele fra mennesker, fostre og lign. eller afdøde. Herunder omfattes kliniske forsøg med lægemidler på mennesker, jf. nr. 2, og klinisk afprøvning af medicinsk udstyr, jf. nr. 3. Det vil sige, at der skal typisk anmeldes ved Videnskabsetisk Komité, når der sker forsøg på mennesker eller menneskelige bestanddele (både biologisk og psykologisk), lægemiddelafprøvning og afprøvning af medicinsk udstyr. Sundhedsstyrelsen (Styrelsen for Patientsikkerhed) skal ifølge sundhedsloven 46, stk. 2, godkende videregivelse af patientjournaloplysninger til brug for konkrete
forskningsprojekter. Godkendelsen skal ske, før oplysningerne kan videregives. Videregivelsen af patientjournaloplysningerne kræver dog ikke Styrelsen for Patientsikkerheds godkendelse når: - Patienterne giver skriftligt samtykke til videregivelsen af patientjournaloplysningerne. - Videregivelsen af oplysninger sker fra godkendte databaser, eksempelvis en klinisk kvalitetsdatabase. - Videnskabsetisk Komite har givet tilladelse til et projekt, hvor det som led heri er nødvendigt at få videregivet oplysninger fra patientjournaler. Det er ikke den lokale kontaktpersons opgave at vurdere, hvorvidt der skal ske anmeldelse til de forskellige myndigheder. Der skal forskerne i stedet tage kontakt direkte til de relevante myndigheder eller til sin vejleder. 2.1.6) Fritagelse for anmeldelse til Datatilsynet Studerendes indsamling og registrering af personoplysninger i forbindelse med deres projekt- og specialeskrivning mv. er fritaget fra kravet om anmeldelse og tilladelse fra Datatilsynet under visse forudsætninger. For at være fritaget fra anmeldelsespligten skal følgende krav være opfyldt: - Den projektansvarlige skal være studerende på et erhvervsakademi, professionsbachelor, bachelor eller kandidatuddannelse eller uddannelse på tilsvarende niveau. - Indsamlingen og registreringen af personoplysninger skal ske med udtrykkeligt samtykke fra de personer, oplysningerne vedrører. Begge krav skal være opfyldt, for at man som studerende er fritaget fra anmeldelsespligten. Selvom de studerende ikke skal anmelde til Datatilsynet, skal persondatalovens regler stadigvæk overholdes. Hvis der er tale om registerprojekter, hvor den studerende ikke har mulighed for at indhente patientens samtykke til at behandle oplysningerne om pågældende, skal projektet fortsat anmeldes. 2.1.7) Overladelse, videregivelse og overførsel Som udgangspunkt sondres der mellem overladelse, videregivelse og overførsel af oplysninger: - Overladelse vil sige, at der gives data fra et forskningsprojekt til et andet indenfor Region Syddanmarks regi. Den overladelse kan ske via den lokale kontaktperson ved et sygehus.
- Videregivelse vil sige, at der videregives data fra et forskningsprojekt i Region Syddanmark til et projekt udenfor Region Syddanmarks regi. Dette sker igennem Enheden for Informationssikkerhed. - Overførsel vil sige, at der overføres data fra Region Syddanmark til et forskningsprojekt eller databehandler i et usikkert tredjeland. Dette kræver særskilt hjemmel i form af en standardkontrakt fra Kommissionen. 3) Dokumentation Datatilsynets hjemmeside Persondataloven Sikkerhedsbekendtgørelsen Sundhedsloven 3.1) Udarbejdet af Jurist Anne Schultz, Region Syddanmark, Enheden for Informationssikkerhed. Jurist Troels Hjortebjerg, Region Syddanmark, Enheden for Informationssikkerhed. 4) Referencer og litteratur Sundhedsloven, LBK nr. 1202 af 14/11/2014 Bekendtgørelse om information og samtykke og om videregivelse af helbredsoplysninger mv., BEK nr. 665 af 14/09/1998 Vejledning om information og samtykke og om videregivelse af helbredsoplysninger mv., VEJ nr. 161 af 16/09/1998