QUAKE II

Videre kan du lese om følgende:

1. Hvordan behandles personopplysninger i QUAKE II?
2. Hvordan ble personopplysningene i QUAKE II databasen samlet inn?
3. Hvem kan få opplysninger fra QUAKE II databasen?
4. Hva er formålet med QUAKE II-databasen?
5. Hvilke pasienter er inkludert og hvilke data finnes i databasen?
6. Rettslig grunnlag og personvern
7. Datahåndtering og informasjonssikkerhet
8. Hvem bruker data fra QUAKE II?
9. Kontaktinformasjon ved ønske om innsyn eller sletting
10. Fagråd for QUAKE II
11. Daglig drift

Hvordan behandles personopplysninger i QUAKE II?

I QUAKE II er personvern tatt på alvor. Det er derfor gjort grundige vurderinger av både personvernkonsekvenser og informasjonssikkerhetsrisikoer i prosjektet, slik at de registrerte som er berørt av forskningen skal kjenne seg ivaretatt. Det er identifisert og gjennomført en rekke tiltak som sikrer at all data behandles på en trygg og sikker måte. Vi er derfor trygge på at risikoen for at noen av de registrertes rettigheter er krenket, er redusert til et minimum.

Prosjektet har fått veiledning fra både jurister i Helsedirektoratet og personvernombudet ved UNN, og har alle nødvendige godkjenninger. Du finner mer informasjon om måten personvern ivaretas lengre ned på denne siden.

Hvordan ble personopplysningene i QUAKE II databasen samlet inn?

Innsamling av data og opprettelse av databasen skjedde ved at Helse Nord IKT hentet ut den relevante dataen fra elektronisk pasientjournal (EPJ). Databasen er lagret på en sikker server som driftes av Helse Nord IKT. På denne serveren vil følgende behandling av data utføres: organisering, tilpasning, pseudonymisering og avidentifisering, utlevering, begrensning, sammenstilling og sletting. Dataen har blitt avidentifisert og spesielt sensitive data er fjernet (for eksempel psykiatrinotater).

Det er kun et begrenset antall personer (5 stk) fra SPKI og Helse Nord IKT har tilgang til databasen. Disse personene er bevisstgjort ansvaret som følger med å behandle denne typen data og det er etablert rutiner som de følger. Det er også etablert andre sikkerhetstiltak, som tilgangsstyring og logging.

Hvem kan få opplysninger fra QUAKE II databasen?

Alle underprosjekter som skal bruke data fra QUAKE II må ha nødvendige godkjenninger (personvernombud, REK for helseforskningsprosjekter, osv.) i orden og vil kun få utlevert begrensede og anonymiserte datasett i henhold til godkjenningene. Utlevering av data begrenses til prosjekter tilknyttet UNN (dispensasjonen fra Helsedirektoratet krever at UNN er dataansvarlig). Offentlig publisering av data fra QUAKE II vil ikke skje.

Hva er formålet med QUAKE II-databasen?

Formålet med prosjektet og den planlagte databasen er tredelt:

• Kvalitetssikring og kvalitetsforbedring:
  • undersøke kvaliteten på behandling og diagnostikk ved Kirurgi, kreft og kvinnehelseklinikken ved UNN (K3K-klinikken),
  • bidra til bedre kvalitet på helsehjelp og diagnostikk til pasienter i klinikken,
  • utvikle/bedre kvaliteten på forebyggende tiltak som ytes eller tilbys til pasienter i klinikken, og
  • utvikle nye forebyggende tiltak eller andre fremgangsmåter for å bedre ta i bruk tilgjengelig informasjon i det enkelte behandlingsforløp eller på administrativt og organisatorisk nivå;

• Forskning:
  • klinisk forskning ved å fremme og gi grunnlag for helseforskning for å fremskaffe ny kunnskap om sykdomsårsaker, diagnoser, forløp, behandlingseffekter, komplikasjoner, effekten av forebyggende tiltak, samt annen kunnskap om helse og sykdom som kan fremskaffes gjennom forskning;
  • Grunnforskning ved å fremme og gi grunnlag for å utvikle, forbedre og fremskaffe kunnskap om ulike metoder for analyse av informasjon, for eksempel ved bruk av modeller basert på statistiske metoder, maskinlæring, dyplæring eller lignende;

• Utvikling og innovasjon:
  • legge til rette for utvikling og testing av kliniske beslutningsstøtteverktøy, herunder beslutningsstøtte basert på kunstig intelligens, med tiltenkt bruksområde innenfor utredning, diagnostikk, prognostikk, behandling, forebygging og samvalg.

Hvilke pasienter er inkludert og hvilke data finnes i databasen?

Hvem er det som vil få sine personopplysninger inkludert i databasen?

Databasen inneholder data fra pasienter ved Kirurgi-, kreft- og kvinnehelseklinikken (K3K-klinikken) som oppfyller minst ett av de følgende to kriterier:

1. har hatt minst en poliklinisk behandling/kontakt ved en av avdelingene ved K3K som er listet opp under i tidsperioden 01.01.10 til 31.01.23
2. har vært innlagt minst en gang ved en av avdelingene ved K3K som er listet opp under i tidsperioden 01.01.10 til 31.01.23

Totalt utgjør dette ca. 140 000 pasienter. Liste over avdelinger på K3K som inkluderes i uttrekket:

• Gastrokirurgisk avdeling
• Kreftavdeling
• Kvinne- og fødeavdeling
• Urologisk avdeling
• Bryst-endokrinkirurgisk avdeling
• Plastikkirurgisk avdeling
• IVF laboratorium
• Ernæringssenteret

Hvilke datakilder er inkludert?

Databasen QUAKE II er samlet inn fra journalsystemet DIPS og består av somatiske pasientjournaler. Dette inkluderer både ustrukturert data (eks. epikriser, sykepleiernotat, løpende notat, røntgensvar, osv.) og strukturert data (eks. registrerte diagnosekoder, forfatter, registrerte kontakter med avdelingstilknytning og tidspunkt/varighet for kontakt, labsvar, elektronisk kurve, medikasjon, osv.).

Rettslig grunnlag og personvern

Prosessen som har ledet til etableringen av QUAKE II har vært lang. Det har blitt gjort grundige vurderinger av det juridiske grunnlaget, personvernkonsekvenser og mulige risikoer i prosjektet. Gjennom denne prosessen har prosjektet mottatt tverretatlig regulatorisk veiledning fra blant annet Helsedirektoratet og råd fra personvernombudet ved UNN. SPKIs egen juridiske rådgiver har vært tett involvert i prosjektet.

Hva er det rettslige grunnlaget?

Helsedirektoratet har innvilget søknad om dispensasjon fra taushetsplikten etter helsepersonelloven § 29. Dispensasjonen omfatter tilgang til og behandling av de opplysninger som er gjengitt ovenfor med innhenting av opplysninger fra pasientjournalsystemet DIPS, om pasienter som er behandlet ved K3K-klinikken på UNN i perioden 1.1.2004-31.1.2023. Dispensasjonen gjelder behandling av de aktuelle opplysninger til kvalitetsforbedring og utvikling og bruk av klinisk beslutningsstøtteverktøy. Dispensasjonen gjelder frem til 1.4.2032. Etter dette tidspunktet skal kun anonyme opplysninger kunne oppbevares.

Vedtaket om dispensasjon for taushetsplikt etter helsepersonelloven § 29 er et gyldig supplerende behandlingsgrunnlag til personvernforordningens artikkel 6 nr. 1 bokstav e og nr. 3, og artikkel 9 nr. 2 bokstavene g og i.

Har jeg noen rettigheter?

Etter personvernregelverket har alle registrerte i databasen rett til innsyn, retting, sletting, begrensning, å protestere, dataportabilitet, informasjon og retter ved automatiserte avgjørelser. Du kan lese mer om dine rettigheter på nettsidene til Datatilsynet: https://www.datatilsynet.no/rettigheter-og-plikter/den-registrertes-rettigheter/

Du har også rett til å klage til Datatilsynet på hvordan vi behandler dine personopplysninger.

Har du noen spørsmål om dine rettigheter eller ønsker du å utøve dem?

Dersom du har spørsmål eller vil utøve dine rettigheter, så kan du ta kontakt med oss i SPKI: spki.no/kontakt

Du kan også kontakte personvernombudet via e-post: personvernombudet@unn.no

Hva har prosjektet gjort for å ivareta personvernet?

Prosjektet har gjennomført personvernkonsekvensutredning (DPIA) og tilhørende risikovurdering for å sikre at de registrertes rettigheter, friheter og interesser ivaretas. Gjennom dette har det blitt identifisert og gjort tiltak for avidentifisering, dataminimering, lagringsbegrensning, formålsbegrensning, etc. Disse tiltakene vil blant annet sørge for å ekskludere psykiatriske notater og at det lages en koblingsnøkkel for å gi hver enkelt pasient en randomisert ID-kode. Databasen er lagret på en egnet IKT-plattform som tilfredsstiller de nødvendige krav til sikker lagring og deling av data.

Mer detaljert er følgende tiltak gjort for å ivareta registrertes rettigheter:

1. Det er gjennomført DPIA, herunder vurdert- og implementert ytterligere forbedringer etter tilbakemeldinger fra personvernombudet.
2. Tilgjengeliggjøring av informasjon på UNN og SPKI sine nettsider.
3. Det etableres et fagråd og vedtekter som sørger for at bruk skjer i tråd med overnevnte.
4. Involvering av brukerutvalg med representant inn i fagrådet og prosjektgruppen. Brukerrepresentant er hørt i arbeid med DPIA, og vil fremover sørge for informasjon og åpenhet, samt bidra til å sikre de registrertes rettigheter på generell basis. Brukerutvalget blir minst årlig orientert om arbeidet med- og resultater fra registeret.
5. Det gis noe generell informasjon i innkallingsbrev til UNN om bruk av data til kvalitetsformål.
6. Det gjennomføres dataminimering ved ekskludering av særlig sensitivt materiale, avidentifisering og pseudonymisering, sterk tilgangsbegrensning, og logging.
7. Det vil i avidentifiserings- og organiseringsfasen gjøres en risikovurdering med tanke på hvilke avidentifiseringstiltak som må gjøres og om noen dokumenttyper må fjernes helt fra databasen. Basert på dette er det besluttet at eventuelle dokumenter tilknyttet psykisk helsevern fjernes.
8. Med unntak av NPR-nummer vil det ikke innhentes direkte identifiserende personopplysninger som navn, personnummer, adresse eller lignende. Det gjøres ytterligere avidentifisering etter dette ved generering av randomiserte IDer.
9. Det vil kjøres et avidentifiseringsprogram for å fjerne eventuell identifiserende informasjon i fritekstfelter med videre. Graden av personidentifikasjon er minimert til det som er nødvendig for formålet.

Datahåndtering og informasjonssikkerhet

Hvilke tiltak er gjort for å sikre at dine personopplysninger er trygge?

Personopplysningene er lagret i en database hos Helse Nord. Denne databasen er lagret på en egnet IKT-plattform som tilfredsstiller de nødvendige krav til sikker lagring og deling av data.
Det er gjort flere eksisterende og planlagte tiltak for å ivareta prinsippet om integritet og konfidensialitet, herunder kryptering, avidentifisering, anonymisering, partisjonering, tilgangskontroll, sporbarhet/logging osv.

Hvem bruker data fra QUAKE II?

Data fra QUAKE II utleveres kun til et begrenset antall prosjekter, som ønsker å forske innenfor de formålene som er nevnt over. Det stilles formelle krav til prosjektene som får utlevert data fra databasen, som må være oppfylt før de får tilgang til noen opplysninger i databasen. Blant annet må prosjektene dokumentere at de har en datahåndteringsplan og de har ikke anledning til å koble sammen data fra QUAKE II sammen med andre kilder.

I tillegg vil data som leveres til forskningsprosjekter være tilpasset og begrenset til det prosjektet skal forske på, og i tillegg er opplysningene psedonymisert. Det vil si at prosjektet ikke får utlevert koblingsnøkkel som gjør at de kan koble sammen opplysningene med ditt navn.

Utlevering av data begrenses til prosjekter tilknyttet UNN. Dette vil si at prosjektene vil ha UNN som dataansvarlig og må godkjennes av UNNs personvernombud før oppstart. Det er også kun prosjekter som hører hjemme i EØS-området som kan få tilgang til data, og i tillegg må selvsagt alle forskningsprosjekter ha nødvendige tillatelser til å kunne drive med slik forskning.

Hva skjer med personopplysningene dine etter at forskningsprosjektet er over?

Etter endt forskningsperiode kan prosjektene publisere sine funn. Da er det kun tillatt å gjengi anonym data.
Godkjenningen for QUAKE II gjelder frem til 1.4.2032. Etter dette tidspunktet skal kun anonyme opplysninger kunne oppbevares.

Kontaktinformasjon ved ønske om innsyn eller sletting

Ved ønske om mer informasjon, innsyn, sletting, eller liknende kan du ta kontakt med oss her: spki.no/kontakt

Fagråd for QUAKE II

Fagrådets viktigste oppgave er å bidra til høy faglig kvalitet i prosjektene som bruker data fra QUAKE II og at QUAKE IIs muligheter utnyttes best mulig. Fagrådet skal ha brukerrepresentasjon.

Fagrådet for registeret skal sørge for at utlevering av opplysninger skjer i tråd med registerets spesifikke formål. Fagrådet har ansvar for faglig vurdering av forespørsler om utlevering, og for utarbeidelse av forslag til beslutning på vegne av databehandlingsansvarlig. Beslutninger om utlevering må til enhver tid følge de gjeldende styrende dokumenter ved databehandlingsansvarlig institusjon og må være i samsvar med kravene beskrevet tidligere i disse vedtektene.

Daglig drift

QUAKE II skal ledes av daglig leder, som er leder i SPKI.

Oppgaver:

• Stå for daglig drift av QUAKE II
• Fortløpende vurdere alle henvendelser om utlevering og bruk av opplysninger fra registeret, og forberede nødvendige beslutninger fra Fagrådet, personvernombudet eller annen funksjon som ivaretar databehandlingsansvaret ved vurdering av utleveringer.
• Representere QUAKE II utad (offentlige utvalg, media, etc.)
• Være saksansvarlig for Fagrådet.

QUAKE II skal drives av en driftsgruppe:

• Daglig leder
• Administrativt personell tilknyttet Helse Nord IKT og SPKI (5 stk)