Mange danskere tror, at deres sundhedsdata kun kan bruges til forskning, hvis de har givet tilladelse. Men som Version2 har skrevet tidligere, er det ikke tilfældet.
Millionvis af personhenførbare data er til rådighed for forskerne. De ‘rene’ databaserede forskningsprojekter med persondata skal nemlig ikke igennem en videnskabsetisk komité.
I 44 procent af de projekter fra 2018, hvor Sundhedsdatastyrelsen udleverede data til forskerne, var der tale om personhenførbare data, som eksempelvis CPR-numre. Det er i øjeblikket ikke muligt at få at vide, hvor mange borgeres persondata der udleveres.
Version2 har dog fået en stikprøve på tre projekter. Et af projekterne, der benytter data fra 46.418 borgere, hedder ‘Can genetic markers predict the response of TNF inhibitor therapy?’
»Vi har intet i hænderne selv«
Projektets leder, klinisk professor Vibeke Andersen fra Syddansk Universitet, begrunder behovet for de personhenførbare oplysninger således:
»Vi skal have personhenførbare data, fordi vi skal koble data til blodprøver. Vi har blodprøver, som vi kan koble til CPR-numre, og så skal vi bruge registerdata på samme CPR-numre for at finde personer, der har en bestemt diagnose, fordi vi skal finde kliniske oplysninger på disse patienter.«
Ifølge hende er projektet nødt til at få disse data udleveret, fordi data normalt bliver lagt i forskermaskinen, og her er de anonymiseret for forskerne.
»Men vi har fået lov til at koble data til blodprøver. Vi laver genotype-bestemmelse på blodet. Så overordnet set er det for at koble gen-oplysninger med personer, som har fået en bestemt behandling. Dybest set vil vi finde ud af, hvilke patienter der har glæde af en given behandling. For at kunne gøre det har vi koblet analyse af biologisk materiale med registerdata.«
Projektets data forvaltes af OPEN (Open Patient data Explorative Network) i lighed med de fleste projekter på SDU. I praksis fungerer OPEN som et netværk med bidrag fra flere laboratorieafdelinger, forsknings- og udviklingsafdelingen, Klinisk Institut og Institut for Sundhedstjenesteforskning.
»Det er ikke godt nok at sige til dig: ‘Vi skal nok opbevare de informationer, vi modtager, sikkert.’ Vi har intet i hænderne selv – alt bliver lagt i OPEN. Så kan vi sige: Al sikkerhed er der taget hånd om der. Det skal vi ikke selv ligge og rode med,« siger Vibeke Andersen.
Persondata kan udtrækkes lokalt
OPEN blev sat i værk i 2008 for at styrke forskningen på Odense Universitetshospital og Klinisk Institut på SDU. Det forklarer Janni Brødbæk, som er funktionsleder for projektkoordinering, administration og personale.
Kan I være sikre på, at forskerne ikke udtrækker data og tager dem med i sommerhuset?
»Der er adgang til systemerne, også fra sommerhuset, via VPN med tofaktor-autentifikation. Men der er i princippet mulighed for at udtrække data lokalt. Forskerne vil dog rigtig gerne gøre det rigtige.«
Hvorfor ikke lukke den mulighed?
»Det kan være, at projektet har samarbejdspartnere, for eksempel Rigshospitalet, som måske skal modtage data fra forskerne.«
Hvordan er den procedure?
»Der vil forskerne tale med os om, hvordan man krypterer data og håndterer det. Der er også kryptografi-software i systemet,« siger Janni Brødbæk og tilføjer:
»I princippet kan de godt stå med oplysningerne – de rå persondata – i hånden, men vores oplevelse er, at forskerne ikke har lyst til at stå med data. De vil rigtig gerne have hjælp og spørger meget.«
Men det er altså muligt at trække personhenførbare data ud af OPEN’s systemer, der dog logger transaktionerne.
I modsætning hertiI er det ikke muligt i Sundhedsdatastyrelsens forskermaskine at udtrække persondata lokalt.
Hvis en forsker uretmæssigt trækker data ud, kan Danmarks Statistik give forskerne karantæne i månedsvis. OPEN's registerspecialister rådgiver også om håndtering af data på forskermaskinen.
Ingen datahændelser i fire år
Ofte lader forskerne data ligge i OPEN's system, og så giver afdelingen adgang til de eksterne partnere. Sådan vil forskerne også gerne have det.
»Der indgås databehandleraftaler uagtet om data tages ud af OPEN's systemer og sendes til ekstern forsker, eller om data behandles af ekstern forsker i OPEN's systemer. Skal en ekstern arbejde med data, skal der være en databehandleraftale,« siger Janni Brødbæk.
Det kan være danske eller udenlandske forskere projekterne samarbejder med. OPEN samarbejder også med få private partnere, men så er det OPEN's forskere, der står for hele projektet, og de private partnere får ikke adgang til data.
OPEN har ikke oplevet 'datahændelser' af en sådan karakter, at der har skullet indberettes til Datatilsynet, i de seneste fire år. Der har dog været en hændelse, hvor en mappe med data blev fejlagtigt kopieret fra et projekt til et andet, inde i selve det lukkede system.
I det tilfælde viste loggen, at der ikke havde været adgang til de forkert anbragte data. Her træder kvalitetssikringssystemet i kraft og sikrer, at der følges op på afvigelsen for at undgå fremtidige hændelser.
I en tilstødende artikel uddyber Janni Brødbæk, hvordan det praktiske arbejde i OPEN foregår.
...men det er dyrt at lave god journalistik. Derfor beder vi dig overveje at tegne abonnement på Version2.
Digitaliseringen buldrer derudaf, og it-folkene tegner fremtidens Danmark. Derfor er det vigtigere end nogensinde med et kvalificeret bud på, hvordan it bedst kan være med til at udvikle det danske samfund og erhvervsliv.
Og der har aldrig været mere akut brug for en kritisk vagthund, der råber op, når der tages forkerte it-beslutninger.
Den rolle har Version2 indtaget siden 2006 - og det bliver vi ved med.
