Seruminstituttet sendte 2.000 kvinders data til USA uden juridisk grundlag

DATABESKYTTELSE: Statens Seruminstitut delte gennem to et halvt år personfølsomme data på 2.000 danske kvinder med en amerikansk forskningspartner uden at have en aftale for, hvordan oplysningerne skulle behandles. Ekspert kalder sagen alvorlig.

Placeholder image
I en periode på næsten toethalvt år sendte Statens Serum Institut data over Atlanten uden at have et juridisk grundlag for det.  Foto: Kasper Palsnov/Ritzau Scanpix

Gennem to et halvt år har Statens Seruminstitut (SSI) sendt data til USA uden et juridisk grundlag for overførslerne.

Det viser Statens Seruminstituts egen redegørelse for sagen, som Altinget har fået aktindsigt i. 

Det drejer sig om data og biologisk materiale fra omtrent 2.000 kvinder, der har deltaget i forskningsprojektet "Bedre Sundhed for Mor og Barn," som i dag hedder "Bedre Sundhed i Generationer".

Instituttet overførte mellem 1. januar 2016 og 22. maj 2018 to gange data fra blodprøver og andre prøver med biologisk materiale til Seruminstituttets amerikanske samarbejdspartnere ved National Institute of Child Health and Human Development (NICHD). 

Der blev i samme periode desuden 12 gange delt andre data, der blandt andet inkluderer oplysninger om kvindernes børns kost, sygdomshistorik, udvikling og fødselskomplikationer. 

Peter Blume, der er professor ved Københavns Universitet med speciale i persondataret, kalder Seruminstituttets redegørelse en ren tilståelsessag. 

"Det er alvorligt. Det er overførsler af følsomme oplysninger, som kan være integritetskrænkende. De mister enhver kontrol med oplysningerne, når der ikke er nogen aftale," siger han.

Kammeradvokaten undersøger sagen
Der er tale om de samme dataoverførsler, som Sundheds- og Ældreministeriet i december bad Kammeradvokaten undersøge.

Sagen fik sammen med ministeriets mistanke om sammenblanding af medarbejdere og Instituttets økonomiske interesser som konsekvens, at Statens Seruminstituts direktør blev midlertidigt fritaget fra tjeneste. 

Kammeradvokaten fik dengang til opgave at undersøge, om SSI har sikret, det "juridiske grundlag for anvendelse og overførsel af personoplysninger til forskningsbrug altid er til stede," som der står i kommissoriet til Kammeradvokaten. 

Det har Instituttet ikke haft, konkluderer professor Peter Blume efter at have læst redegørelsen.

"Det er en ren tilståelsessag. De har ikke haft noget grundlag for at overføre de her følsomme oplysninger," siger han.

Den manglende juridiske aftale betyder, at de 2.000 kvinder i forskningsprojektet risikerer, at deres data bliver brugt til andre formål end forskning. 

"De mennesker, som har afgivet deres private data i den her undersøgelse, har fået deres oplysninger overført til et andet land uden tilstrækkelig beskyttelse, hvor der er risiko for, at oplysningerne bliver spredt eller brugt til noget andet end hensigten. Det burde et pænt foretagende som Seruminstituttet ikke være med til," siger han.

Læs også

Ikke opmærksomme på tomrummet
Overførslerne af data uden en juridisk aftale for behandlingen af dem skete i den to et halvt år lange periode mellem 1. januar 2016 til 22. maj 2018.

Samarbejdet mellem SSI og NICHD foregik indtil udgangen af 2015 inden for rammerne af den såkaldte Safe Harbour-aftale, der regulerede, hvordan data kunne flyde frit mellem EU-lande og USA.

Da den politiske aftale om Safe Harbour udløb i slutningen af 2015, fortsatte SSI og NICHD med at udveksle data, selv om deres samarbejdsaftale altså ikke længere var gyldig.

Det forsatte de med indtil 22. maj 2018, hvor overførslerne standsede, da den europæiske databeskyttelsesforordning (GDPR) trådte til.

Ifølge Seruminstituttets redegørelse var parterne ikke opmærksomme på, at der manglede en juridisk aftale for databehandlingen i perioden.

"Fra 1. januar 2016 var hverken NICHD eller SSI opmærksomme på, at der var behov for et nyt overførselsgrundlag, da Safe-Harbor-ordningen bortfaldt ved udgangen af 2015," skriver Seruminstituttet.

Heunicke afventer undersøgelse
Sundheds- og ældreminister Magnus Heunicke (S) skriver i en mail til Altinget, at Seruminstituttets redegørelse bekræfter ham i, at det var fornuftigt at bede Kammeradvokaten undersøge sagen nærmere.

"Nu afventer jeg, at Kammeradvokaten afslutter sit arbejde. Når den undersøgelse er færdig, vil jeg tage de skridt, der måtte vise sig nødvendige for at sikre tilliden til SSI's vigtige arbejde," skriver han. 

Statens Seruminstitut har ikke ønsket at stille op til interview om sagen.

Dokumentation

Sundheds- og Ældreministeriet har bedt Kammeradvokaten om:

at undersøge, om Statens Seruminstitut (SSI) gennem de nødvendige politikker og processer samt træning af medarbejdere har sikret, at det korrekte juridiske grundlag for anvendelse og overførsel af personoplysninger til forskningsbrug altid er til stede, samt at nødvendige tilsyn med leverandører og samarbejdspartnere bliver udført,

I samarbejde med SSI og Sundheds- og Ældreministeriets DPO at iværksætte konkrete tiltag for at sikre regelefterlevelse i forhold til anvendelse af danske registreredes personoplysninger til forskningsbrug på SSI.

Herunder skal det sikres, at personoplysninger fremadrettet ikke kan anvendes eller føres ud af landet til forskningsbrug, uden at det fornødne retlige grundlag og overholdelse af databeskyttelseslovgivningen er dokumenteret.

Undersøgelsen vil tage udgangspunkt i materiale om eksisterende politikker og retningslinjer samt relevante processer og oplysninger fra SSI's medarbejdere. Hertil kommer materiale vedrørende de relevante, konkrete forskningsprojekter. Der nedsættes en projektgruppe med forankring i Sundheds- og Ældreministeriet med deltagelse af medarbejdere fra SSI samt Kammeradvokaten.

Kilde: Kammeradvokatens kommissorium 


Omtalte personer

Peter Blume

Professor, dr.jur., Center for Offentlig Regulering og Administration, Københavns Uni.
cand.jur. (Københavns Uni. 1974), lic.jur.

Politik har aldrig været vigtigere
Få gratis nyheder fra Danmarks største politiske redaktion
Ved at tilmelde dig Altingets nyhedsbrev, accepterer du vores generelle betingelser