Deltakerinformasjon V503

Personvernforordningen (General Data Protection Regulation 2016/679) trådte i kraft i Norge 20. juli 2018. Forordningen stiller særlige krav til vern av fysiske personers grunnleggende rettigheter og friheter, særlig deres rett til vern av personopplysninger.

Etter personvernforordningen kan personopplysninger overføres til andre land i EØS samt til land hvor det foreligger en beslutning fra EU-kommisjonen om tilstrekkelig beskyttelsesnivå. USA har ikke en slik beslutning fra EU-kommisjonen. I slike tilfeller hvor det ikke foreligger en beslutning fra EU-kommisjonen, kan data likevel overføres hvis det finnes nødvendige garantier ifølge personvernforordningen artikkel 46. Vi vurderer at per i dag finnes ikke overføringsgrunnlag i artikkel 46 for personopplysninger fra Norge til Mercks kliniske studiedatabase i USA, eller for personopplysninger som overføres fra Merck til det amerikanske legemiddelverket (FDA), som går an å bruke innen den tidsrammen som vi har for oppfølging av studien. Grunnen er blant annet lovkonflikter mellom europeisk og amerikansk rett, som myndighetene arbeider med å løse og som vil kreve tid. For disse overføringene må vi derfor inntil videre bruke en unntaksbestemmelse, nærmere bestemt personvernforordningen artikkel 49 nr. 1 annet ledd.

I studien overføres pseudonymiserte helseopplysninger om deltakere og biologisk materiale fra biopsiene til vaksineprodusenten Merck i USA for analyse og videre lagring. Opplysningene kan deles med regulatoriske myndigheter så som Det Europeiske legemiddelbyrået (EMA), FDA og Japans Pharmaceuticals and Medical Devices Agency (PMDA) for pålitelighet, sikkerhet og effektivitetsformål.

Datatilsynet ble underrettet 8. juni 2021, og har gitt sin tilslutning til at overføringene i dette tilfelle kan skje på bakgrunn av unntaksbestemmelsen. Kreftregisteret plikter i tillegg å underrette studiedeltakerne om overføringene og de tvingende berettigede interesser som begrunner bruk av unntaksbestemmelsen. Disse er beskrevet nærmere nedenfor.

For godkjenning av Mercks første HPV-vaksine (Gardasil-4) krevde FDA at langtidseffekter av vaksinen ble overvåket i Norden. Uten en slik overvåking ville det ikke kunne blitt tilbudt vaksine til unge jenter (etter hvert også gutter). Langtidsoppfølging i Norden ble videreført for Mercks andre HPV-vaksine (Gardasil-9). HPV- vaksinestudien er begrunnet i hensynet til folkehelsen og samfunnets berettigede forventninger om økt kunnskap om helse og sykdom. Norge er blant svært få land i verden hvor denne typen studie kan gjennomføres fordi vi har gode helseregistre som kan kobles sammen. Videre kan LTFU ikke erstattes av andre studier, da ingen andre enn denne studiens deltakere kan gi så tidlig kunnskap om Gardasil-9s effekt og sikkerhet på lang sikt. At opplysningene overføres vil både være en fordel for deg som deltaker i studien og for kvinner/menn som senere vil bli tilbudt HPV-vaksine, ettersom økt kunnskap om effekten av HPVvaksinen er viktig for å bedømme i hvilken grad den forebygger utvikling av HPV-relatert kreftsykdom. Kreftregisteret har grunn til å anta at du og andre som tidligere har samtykket til å delta i oppfølgingsstudien, også er positive til at personopplysninger fortsatt overføres og behandles til formålet, forutsatt at personvernet er tilfredsstillende ivaretatt.

Behandlingen av personopplysninger i studien har lovlig grunnlag etter personvernforordningen artikkel 6 nr. 1 bokstav c) og 9 nr. 2 bokstav i). Behandlingen er nødvendig for å oppfylle rettslige krav til pålitelighet og sikkerhet som kliniske studier er underlagt. Legemiddelloven, forskrift om klinisk utprøving av legemidler til mennesker, legemiddelforskriften § 15-6a og EØS-avtalen vedlegg II kapittel XIII nr. 18 (forordning (EU) nr. 536/2014) gir supplerende rettsgrunnlag i nasjonal rett for å behandle helseopplysninger til dette formålet. Øvrig behandling av personopplysninger i studien har rettslig grunnlag i personvernforordningen artikkel 6 nr. 1 bokstav e) og 9 nr. 2 bokstav j), samt personopplysningsloven §§ 8 og 9. Denne behandlingen er nødvendig for vitenskapelige forskningsformål.

I tillegg til pseudonymisering, er det også iverksatt ytterligere tiltak for å styrke personvernet ved at opplysningene overføres kryptert, og ikke i større omfang enn det som er nødvendig for å oppnå studiens formål. I tillegg er det inngått avtale med Merck om felles dataansvar som ivaretar deltakernes rettigheter etter GDPR. Gitt ovennevnte tiltak, vurderer vi at behandlingen er i tråd med prinsippene og kravene i personvernforordningen.

Du kan når som helst trekke deg fra studien. Vi vil da ikke samle inn ny informasjon om deg, men data og biologisk materiale som allerede er samlet inn om deg, og overført til USA, vil fremdeles inngå i studien. Studiens data arkiveres for kontrollformål i 15 år etter prosjektslutt. Disse prosedyrene er lovpålagt i utprøving av legemidler og sikrer at legemiddelets dokumentasjon kan kontrolleres av myndighetene om nødvendig. Arkiveringsperioden kan forlenges dersom lovpålagte krav tilsier det. Biologisk materiale som overføres til USA, oppbevares i to år etter prosjektslutt for kontrollformål, og skal deretter destrueres.

Du har rett til å kreve innsyn i, retting eller begrensning av behandlingen av opplysninger om deg. Personopplysningsloven § 17 gjør enkelte unntak fra disse rettighetene, i samsvar med personvernforordningen artikkel 89 nr. 1, så langt det vil kreve en uforholdsmessig stor innsats å gi innsyn, eller så langt rettighetene sannsynligvis vil gjøre det umulig eller i alvorlig grad hindre at målene med behandlingen av opplysningene nås.

Du finner mer informasjon om dine rettigheter og personvern og informasjonssikkerhet på Kreftregisterets nettsider: https://www.kreftregisteret.no/Generelt/Om-Kreftregisteret/Personvern/