1. Indledende og generelle bemærkninger
Danske Regioner takker for muligheden for at afgive høringssvar til EDPB’s Guidelines 1/2026 om behandling af personoplysninger til videnskabelige forskningsformål. Danske Regioner har som interesseorganisation for de fem regioner i Danmark udarbejdet et fælles regionalt høringssvar til vejledningen.
Regionerne finder det overordnet positivt, at EDPB har udarbejdet en samlet vejledning, der har til formål at skabe større klarhed og tydeliggøre rammernefor behandling af personoplysninger til forskningsformål. Det er desuden positivt, at vejledningen fremhæver forskning som værende af betydelig samfundsmæssig
nytte og værdi.
Samtidig vurderer regionerne, at vejledningen på en række centrale punkter fortsat efterlader betydelig retlig usikkerhed, navnlig i relation til samspillet mellem de databeskyttelsesretlige regler, national sektorlovgivning og eksisterende forskningsetiske rammer. Dette gælder særligt i en dansk kontekst, hvor behandling af personoplysninger i forskningsøjemed er tæt integreret med reguleringen i den danske sundhedslov, databeskyttelseslov og komitélovgivningen.
Derudover ser regionerne et behov for, at vejledningen i højere grad berører de særlige forhold, der gør sig gældende ved internationalt samarbejde ifm. forskningsaktiviteter både inden for og uden for EU. I den forbindelse anbefales det, at vejledningen tilpasses Digital Omnibus og EHDS-forordningen for at sikre
ensartethed, og undgå, at dele af vejledningen forældes. I forhold til EHDS drejer det sig særligt om emnerne sekundær brug af sundhedsdata, formålsbegrænsning, fravalgsordninger og forpligtelser for datadeling. Dette gælder også for nye forskningsinfrastrukturer som AI Factories og Data Labs og deres rolle i forbindelse med pseudonymisering under EU-lovgivningen.
Endelig anbefaler regionerne, at vejledningen gøres mere forståelig for praktikere og forskere, herunder ved at supplere med konkrete eksempler, der er praksisnære.
I afsnit 2 uddybes regionernes betragtninger om samspillet mellem GDPR og national ret. Afsnit 3 indeholder regionernes bemærkninger til vejledningens enkelte afsnit, mens afsnit 4 omhandler biobanker til fremtidig forskning. I afsnit 5 fremgår regionernes betragtninger om tilsynsmyndighedernes rolle.
2. Samspillet mellem GDPR og national ret
Regionerne finder det væsentligt, at vejledningen i højere grad afspejler, at GDPR ikke udgør en fuldstændig harmonisering af reglerne på området, og at der i medlemsstaterne eksisterer supplerende national lovgivning og organisatoriske strukturer, som i praksis er afgørende for gennemførelsen af forskning. Det gælder blandt andet nationale regler om videregivelse, anvendelse af sundhedsdata og krav om videnskabsetisk godkendelse. I praksis er behandlingen af personoplysninger således tæt integreret med national regulering, herunder sundhedsloven, databeskyttelsesloven og komitélovgivningen. Hvis disse forhold ikke adresseres tilstrækkeligt, er der risiko for, at vejledningen anvendes løsrevet fra den nationale retlige kontekst eller fortolkes på en måde, der ikke er forenelig med national ret. Regionerne noterer sig, at der er steder i vejledningen, hvor det adresseres, men vurderer, at det kan ske i endnu højere grad.
I forhold til afsnittene om de registreredes rettigheder kan det overvejes at tydeliggøre, hvilke medlemsstater, der med henvisning til GDPR artikel 89, stk. 2, har fastsat undtagelser fra rettighederne i GDPR artikel 15, 16, 18, 19 og 21, under forudsætning af, at betingelserne og garantierne i artikel 89, stk. 1, er opfyldt. I Danmark fremgår det fx af databeskyttelseslovens § 22, stk. 5, jf. GDPR artikel 89, stk. 2, at de registrerede ikke kan gøre rettighederne efter artikel 15, 16, 18 og 21, gældende, hvis personoplysningerne udelukkende behandles
til videnskabelige eller statistiske formål. Selvom vejledningen i afsnit 6.1, beskriver artikel 89, stk. 2, er der flere afsnit, hvor det med fordel kunne tilføjes, at rettighederne ikke finder anvendelse, hvis der er fravigelser i nationalret, fx i punkt 85.
2.1. Særligt om national komitélovgivning
Regionerne anbefaler, at vejledningen tydeliggør, at de databeskyttelsesretlige regler ikke udtømmende regulerer de etiske rammer for sundhedsvidenskabelig forskning. I en dansk kontekst fastlægges og kontrolleres de etiske krav til projektdeltagelse, herunder kravene til informeret samtykke, vurdering af forsvarlighed og beskyttelses af forsøgspersoners rettigheder og sikkerhed af det videnskabsetiske komitésystem.
Vejledningen bør derfor sondre klart mellem dataetik og videnskabsetik og undgå, at databeskyttelsesretlig fleksibilitet på forskningsområdet – fx ved bredt samtykke, forenelig viderebehandling eller vurderingen af etiske standarder – forstås som en lempelse af krav, der følger af national komitélovgivning.
Regionerne anbefaler desuden, at det i endnu højere grad tydeliggøres, at et samtykke efter GDPR og et informeret samtykke efter national komitélovgivning er to adskilte juridiske størrelser, og at overholdelse af GDPR-reglerne om samtykke ikke i sig selv indebærer, at kravene til deltagelse i et sundhedsvidenskabeligt
forskningsprojekt er opfyldt. I afsnittet om broad consent kan det med fordel præciseres, at nationale videnskabsetiske regler kan stille strengere krav til konkretisering af forskningsformålet og dermed begrænse anvendelsen af brede eller åbne samtykkemodeller.
Endvidere vil det være ønskeligt, at det fremgik tydeligere, at medlemslandene kan have særlige regler for, hvem der har kompetencen til at vurdere, om de etiske standarder, der indgår som en indikator for om noget er videnskabelig forskning (faktor ii.), er opfyldt. For projekter, der er anmeldelsespligtige efter dansk komitélovgivning, bør vurderingen ligge hos de videnskabsetiske komitéer, og databeskyttelsesmyndighederne bør i videst muligt omfang lægge komitéernes vurderinger til grund. Tilsvarende vil en databeskyttelsesretlig formodning om forenelig viderebehandling ikke kunne anvendes til at omgå krav om fornyet videnskabsetisk vurdering eller godkendelse efter national ret.
3. Bemærkninger til vejledningens enkelte afsnit
3.1. Afsnit 2 Rækkevidden af begrebet ”behandling af personoplysninger til
videnskabelige forskningsformål”
3.1.1 Afsnit 2.1. Centrale indikatorer for, om behandling af personoplysninger
sker til videnskabelige forskningsformål
Regionerne finder det positivt, at vejledningen søger at afgrænse begrebet videnskabelig forskning og tydeliggør, at begrebet fx ikke omfatter produktudvikling, enhver analyse mv. Samtidig bør definitionen afstemmes med den foreslåede definition af videnskabelig forskning i Digital Omnibus VII.
Regionerne bemærker, at eksempel 1 og 2 i afsnit 2.1, giver anledning til tvivl. I eksempel 1 anføres det, at behandling af personoplysninger i et klinisk forsøg “kan anses for at ske til videnskabelige forskningsformål efter GDPR”. Efter regionernes opfattelse har kliniske lægemiddelforsøg imidlertid blandede formål, idet behandlingen af personoplysninger både sker til patientbehandling og forskning, hvor patientbehandling går forud for forskning. Det har betydning i dansk ret, da den danske databeskyttelseslovs § 10 forudsætter, at oplysninger udelukkende behandles til videnskabelige og statistiske formål, og dermed kan bestemmelsen ikke udgøre behandlingshjemmel for kliniske forsøg. Det udelukker tillige videregivelse med hjemmel i bestemmelsen til andre formål. Regionerne efterspørger derfor en præcisering af, om eksemplet skal forstås således, at lægemiddelforsøg efter EDPB’s opfattelse kvalificeres som ren forskning.
I eksempel 2 fremgår det, at forskningsaktiviteter kan føre til publikation og samtidig muliggøre efterfølgende kommerciel udnyttelse. Dette kan forstås som en anerkendelse af, at videnskabelige formål ikke i sig selv udelukker kommercielle perspektiver. I en dansk kontekst udfordrer dette rammerne i den danske databeskyttelseslovs § 10, stk. 2, hvorefter personoplysninger behandlet til forskningsformål som udgangspunkt ikke må behandles til andre, ikkeforenelige formål. I praksis indebærer dette, at data indsamlet til forskningsformål som udgangspunkt ikke kan anvendes i en senere kommerciel fase – heller ikke hvor denne udspringer direkte af forskningsprojektet og er nødvendig for at realisere dets formål. Regionerne efterspørger derfor en præcisering af, hvordan overgangen fra videnskabelige formål til kommercielle formål skal vurderes efter GDPR, herunder om der er tale om forenelig viderebehandling efter artikel 5, stk. 1, litra b, eller om der kræves et nyt behandlingsgrundlag.
3.1.2. Afsnit 2.2. Forskningsdatainfrastrukturer
Regionerne har bemærkninger til eksempel 4, hvor det fremgår, at adgang til særlige kategorier af personoplysninger forudsætter etisk godkendelse i overensstemmelse med faktor ii. Dette afspejler ikke den danske retstilstand, hvor videnskabsetisk godkendelse kun kræves for visse sundhedsvidenskabelige forskningsprojekter. Registerbaserede projekter, der ikke involverer biologisk materiale, genomer eller visse typer følsomme bioinformatiske data, er ikke anmeldelsespligtige efter den danske komitélov og underlægges derfor ikke obligatorisk etisk vurdering. Regionerne anbefaler derfor, at fremstillingen nuanceres, så nationale variationer på det etiske område afspejles, jf. også afsnit 2.1.
3.2. Afsnit 3 Databeskyttelsesretlige principper (GDPR Artikel 5)
3.2.1 Afsnit 3.1. Formålsbegrænsning (artikel 5, stk. 1)
Regionerne er overordnet enige i afsnittets perspektiver, men bemærker, at der kan være national lovgivning, der begrænser viderebehandling til forskningsformål, fx den danske sundhedslovs § 46, stk. 2. I forhold til eksempel 6 kan det overvejes at tydeliggøre, hvilke krav der gælder ved overgangen fra forskning til drift, alternativt at notere, at overgangen kræver særlig opmærksomhed.
3.2.2. Afsnit 3.2. Opbevaringsbegrænsning (GDPR artikel 5, stk. 1, litra e)
I afsnit 3.2, punkt 27-29, fremgår det, at opbevaringsperioden skal fastlægges inden behandlingen af personoplysninger påbegyndes. Regionerne bemærker hertil, at dette giver anledning til udfordringer, fordi forskningsprojekters varighed ofte ikke kan fastlægges præcist på forhånd, fx på grund af usikkerhed omkring
rekruttering af forsøgspersoner eller udviklingen af forskningshypoteser undervejs.Regionerne lægger til grund, at det må anses for tilstrækkeligt at informere de registrerede om, at den præcise varighed ikke kan angives, men at behandlingen ophører, når forskningsformålet er opfyldt.
Regionerne bemærker desuden, at kravet i punkt 29 om, at fremtidige forskningsaktiviteter skal være rimeligt forudsigelige i forhold til forskningsfeltet, kan være vanskeligt at opfylde i praksis ved større befolkningsundersøgelser, hvor formålet netop er at følge en befolknings sundhed over tid og muliggøre
afledte forskningsprojekter med forskellige del-forskningsformål. Regionerne efterspørger derfor en præcisering af, hvordan sådanne projekter kan opfylde kravet om forudsigelighed uden at begrænse deres videnskabelige værdi.
3.3. Afsnit 4 Lovlighed (GDPR Artikel 5, stk. 1, litra a, artikel 6, stk. 1, litra a,
og artikel 9)
3.3.1 Afsnit 4.1. Samtykke (GDPR artikel 6, stk. 1, litra a)
3.3.1.1. Afsnit 4.1.1. Frivilligt
Regionerne finder det positivt, at EDPB klart understreger, at den blotte omstændighed, at en patient modtager behandling, ikke i sig selv medfører, at samtykket ikke kan anses for frivilligt. Denne forståelse er afgørende i en sundhedsvidenskabelig kontekst.
Regionerne finder dog anledning til at bemærke, at et databeskyttelsesretligt samtykke efter artikel 6, stk. 1, litra a, og artikel 9, stk. 2, litra a, sjældent anvendes i den danske sundhedssektor. Behandling af personoplysninger i forbindelse med patientbehandling og forskning baseres typisk på artikel 6, stk. 1, litra c eller e, og artikel 9, stk. 2, litra b, g, i eller j. Samtidig opereres der i den danske sundheds- og komitélovgivning med andre former for samtykke, bl.a. informeret samtykke og samtykke til behandling. Vejledningen kan med fordel tydeliggøre, at der er tale om forskellige retlige samtykker, jf. også afsnit 2.1. I punkt 37-38 fremgår det, at der kan indhentes ét samlet samtykke til klinisk forskning, der omfatter både behandling og forskning. Regionerne bemærker hertil, at dette netop ikke afspejler retstilstanden i Danmark, hvor disse to forhold reguleres særskilt jf. ovenfor. Det kan overvejes at tydeliggøre, at punkt 38 relaterer sig til den situation, hvor de to er sammenfaldende. I forhold til punkt 39 bemærker regionerne, at national ret kan indeholde detaljerede regler om kompensation til forsøgspersoner, som i Danmark vurderes af det videnskabsetiske komitésystem ved sundhedsvidenskabelig forskning. Regionerne anbefaler derfor at tydeliggøre, at vurderingen af frivillighed i disse tilfælde ikke nødvendigvis er databeskyttelsesretlig, men ofte foretages inden for et nationalt etisk system.
3.3.1.2. Afsnit 4.1.2 Specifikt og bredt samtykke
Regionerne finder det meget positivt, at EDPB i vejledningen tydeligt anerkender muligheden for at anvende et bredt samtykke inden for GDPR. Regionerne opfordrer til at udfolde mulighederne for at anvende det brede samtykke i endnu højere grad, gerne i form af flere konkrete eksempler. Rækkevidden og afgrænsningen af det brede samtykke giver imidlertid anledning til tvivl i regionerne.
Det anføres i vejledningens afsnit 4.1.2.1, at formålene skal specificeres i videre omfang end videnskabelig forskning. Regionerne finder det uklart, hvor snæver denne afgrænsning skal være i praksis, og om angivelse af fx forskning i en bestemt befolkningsgruppe eller et sygdomsområde er tilstrækkeligt. Dette er særligt relevant i relation til hypotesegenererende forskning, hvor forskningsspørgsmål udvikler sig løbende, og hvor det ikke nødvendigvis er muligt at angive præcise formål på forhånd. Regionerne finder det samtidig uklart, om kravet om en nærmere angivelse af forskningsformålet alene gælder i de tilfælde, hvor samtykke anvendes som behandlingsgrundlag, eller om det også gælder ved opfyldelse af oplysningspligten
efter artikel 13 og 14, uanset hvilket behandlingsgrundlag der anvendes.
Regionerne efterspørger derfor en præcisering af, om graden af formålsbestemthed afhænger af behandlingsgrundlaget, eller om vejledningen skal forstås således, at der generelt stilles krav om en mere specificeret beskrivelse af forskningsformålet over for de registrerede.
Regionerne efterspørger en præcisering af, om et bredt samtykke til fremtidig forskning inden for et bestemt forskningsområde, fx børnekræft, kan dække efterfølgende projekter inden for samme område, uden at der skal indhentes et nyt samtykke.
Regionerne finder desuden, at punkt 48 giver anledning til uklarhed, da det umiddelbart fremstår vanskeligt at forene udsagnet om, at brede samtykker kræver særlige garantier for at kompensere for manglende formålsspecificering, med vejledningens tidligere beskrivelse af, at bredt samtykke kan opfylde kravet om formålsbestemthed efter artikel 5, stk. 1, litra b. Regionerne efterspørger derfor en præcisering af sammenhængen mellem disse udsagn.
Til eksempel 8 bemærker regionerne, at det med fordel kan præciseres, hvordan eksemplet passer sammen med, at forskning ofte gennemføres på et andet behandlingsgrundlag end samtykke. Det fremstår ikke helt klart for regionerne, hvilket behandlingsgrundlag der gælder for den fortsatte behandling af data efter udløbet af den femårige periode. Derudover kunne en præcisering af dataansvaret i forskningsnetværket og betydningen af et eventuelt tilbagekaldt samtykke gøre eksemplet endnu mere anvendeligt i praksis.
3.3.2 Afsnit 4.3 Legitim interesse (GDPR artikel 6, stk. 1, litra f)
Regionerne forstår vejledningen således, at begrebet ’legitim interesse’ skal forstås bredt. Det rejser spørgsmål om, i hvor mange fremtidige led behandlingen af personoplysninger kan basere sig på legitim interesse som behandlingsgrundlag.
3.3.3 Afsnit 4.4. Behandling af særlige kategorier af personoplysninger til videnskabelige
formål (GDPR artikel 9)
3.3.3.1. Afsnit 4.4.2 Personoplysninger, som tydeligvis er offentliggjort af den
registrerede selv (GDPR artikel 9, stk. 2, litra e)
Regionerne bemærker, at EDPB’s oplæg giver anledning til overvejelser om, hvorvidt den registrerede i tilstrækkelig grad kan forudse konsekvenserne af at offentliggøre indhold på eksempelvis sociale medier.
3.4. Afsnit 5 Oplysningspligt (GDPR artikel 12-14)
3.4.1. Generelle bemærkninger
Regionerne bemærker, at vejledningen bidrager til at tydeliggøre, hvordan oplysningspligten efter artikel 12-14 skal løftes på forskningsområdet, herunder hvilke tiltag der konkret kan gøres brug af i den forbindelse. Samtidig giver vejledningens fremstilling anledning til en række væsentlige betænkeligheder.
Regionerne konstaterer, at der lægges op til en meget omfattende og vidtrækkende iagttagelse af oplysningspligten, herunder ved etablering og løbende opdatering af eksempelvis hjemmesider, nyhedsbreve og andre generelle informationskanaler mv. Det vurderes at være ressourcetungt og forbundet med en
betydelig administrativ byrde. Samlet set fremstår tærsklen for at have løftet oplysningspligten på tilstrækkelig vis høj, og regionerne efterspørger en uddybning af, hvordan de foreslåede løsninger faktisk og praktisk kan gennemføres.
I en dansk kontekst kan selv et relativt afgrænset registerstudie omfatte hele den danske befolkning eller større populationer, herunder i visse tilfælde populationer uden for Danmark. Regionerne vurderer, at omkostningerne forbundet med at opfylde oplysningspligten på den måde, som vejledningen lægger op til, vil løbe op i millioner af kroner i administrativ håndtering. Regionerne er desuden bekymrede for, at modellen kan medføre en betydelig informationsmængde for de registrerede, idet de løbende vil skulle modtage oplysninger om de projekter, hvori deres registerdata anvendes. Efter regionernes opfattelse bør vejledningen derfor i højere grad forholde sig til den samlede informationsmængde, som registrerede på tværs af forskningsaktiviteter vil blive mødt med, og til om denne informationsmængde reelt understøtter gennemsigtighed.
Flere af de beskrevne transparenskrav vil endvidere være vanskelige at opfylde i større forskningssammenhænge uden etablering af fælles infrastrukturer. Regionerne opfordrer derfor EDPB til at overveje samspillet med udviklingen af EHDS, hvor netop information og transparens i relation til sekundær anvendelse af sundhedsdata forventes at udgøre centrale begreber.
Regionerne ønsker i den forbindelse at understrege, at bemærkningerne ikke er udtryk for, at der ikke skal sikres gennemsigtighed for de registrerede, og regionerne medgiver at gennemsigtighed er helt centralt databeskyttelsesretligt.
Regionerne opfordrer imidlertid til, at vejledningen i endnu højere grad afspejler hensynet til proportionalitet og praktisk anvendelighed, så oplysningspligten kan opfyldes på en måde, der både sikrer gennemsigtighed for de registrerede og ikke hindrer gennemførelsen af forskning, som vejledningen selv fremhæver som væsentlig og samfundsrelevant.
3.4.2. Særligt om ansvarsfordelingen ved videregivelse
Regionerne ser et behov for, at vejledningen præciserer ansvarsfordelingen i videregivelsessituationer, herunder om det er den afgivende eller modtagende dataansvarlige, der skal opfylde oplysningspligten. Dette kan fx være relevant, hvor oplysninger videregives fra et forskningsprojekt i én region (afgivende dataansvarlige) til et nyt forskningsprojekt i en anden region (modtagende dataansvarlige). Det kan også fx være relevant at tydeliggøre i eksempel 15. Emnet berøres flere steder i vejledningen, men regionerne savner en mere klar konklusion.
Endvidere forstår regionerne fremstillingen af oplysningspligten efter artikel 14, således at den videregivende dataansvarlige pålægges et medansvar for oplysningspligten ved den modtagende dataansvarliges behandling. Efter regionernes opfattelse indebærer dette en uhensigtsmæssig udvidelse af ansvaret, idet man får det indtryk, at en dataansvarlig pålægges forpligtelser for behandlinger, som denne ikke selv fastlægger formål og hjælpemidler for. Hvis det ikke er hensigten, kan det overvejes præciseret.
3.4.3. Oplysningspligt i akutte situationer
I afsnit 5.3, punkt 84-89, hvor oplysningspligten behandles finder regionerne anledning til at fremhæve særlige praktiske udfordringer i sundhedssektoren. Oplysningspligten efter artikel 13 skal som udgangspunkt opfyldes på indsamlingstidspunktet,men patienter vil i akutte situationer ofte være ude af stand til at modtage information, fx hvis de er bevidstløse eller på anden måde uden handleevne. Derudover kan patienter afgå ved døden, hvilket gør det umuligt at informere dem efterfølgende. Efter det danske videnskabsetiske komitésystem er der mulighed for at gennemføre forskning i akutte situationer, hvor den registrerede vurderes at være uden handleevne. Vejledningen indeholder imidlertid ikke nærmere anvisninger for, hvordan oplysningspligten skal håndteres i disse tilfælde.
Regionerne efterspørger derfor en mere operationel fortolkning af oplysningspligten i sådanne situationer, herunder en præcisering af om – og i givet fald hvordan – information skal gives efterfølgende, samt i hvilket omfang generelle informationsforanstaltninger kan anses for tilstrækkelige, når individuel information ikke er mulig på indsamlingstidspunktet.
3.4.4. Afvejning ml. at kunne overholde oplysningspligten og pseudonymisering
Regionerne finder, at vejledningens punkt 86-88 giver anledning til væsentlig uklarhed om forholdet mellem oplysningspligten og principperne om dataminimering, pseudonymisering og databeskyttelse gennem design og standardindstillinger. Det fremgår af punkt 86-87, at dataansvarlige ikke bør slette kontaktoplysninger,
hvis de forventer senere at viderebehandle personoplysninger til forskningsformål, og at registrerede bør have mulighed for frivilligt at afgive kontaktoplysninger, selv hvor kontaktoplysningerne ikke er nødvendige for behandlingsformålet. Dette kan forstås som en anbefaling om, at dataansvarlige skal bevare eller tilvejebringe identifikationsmuligheder med henblik på senere opfyldelse af oplysningspligten. En sådan forståelse står efter regionernes opfattelse i et uklart forhold til databeskyttelsesforordningens præambelbetragtning 57, hvorefter en dataansvarlig, der ikke er i stand til at identificere den registrerede ud fra de personoplysninger der behandles, ikke bør være forpligtet til at indhente yderligere oplysninger for at identificere den registrerede
alene med henblik på at overholde forordningen. I mange forskningsprojekter pseudonymiseres personoplysninger netop for at etablere passende garantier efter GDPR artikel 89, stk. 1. Regionerne efterspørger derfor en præcisering af, hvordan disse hensyn skal afvejes, herunder om vejledningen skal forstås sådan, at den dataansvarlige bør bevare en koblingsnøgle eller kontaktoplysninger med henblik på at kunne afgive senere information til de registrerede, selv hvor oplysningerne ellers kunne anonymiseres.
4. Særligt ift. biobanker til fremtidig forskning
Regionerne bemærker, at såkaldte biobanker til fremtidig forskning, hvor biologisk materiale indsamles inden for et bestemt sygdomsområde, uden nødvendigvis at være knyttet til konkrete hypoteser, ikke adresseres i vejledningen, selv om disse udgør en væsentlig del af sundhedsvidenskabelig forskning i EU.
Biologisk materiale indsamlet til forskningsformål opbevares i praksis ofte i biobanker med henblik på fremtidig anvendelse inden for samme sygdomsområde eller forskningsfelt. Materialet kan efterfølgende anvendes i nye forskningsprojekter, som opnår godkendelse i det videnskabsetiske komitésystem, uden at der nødvendigvis indhentes nyt informeret etisk samtykke fra de registrerede. Dette rejser en række databeskyttelsesretlige spørgsmål, som ikke er adresseret i vejledningen.
Det er således uklart, hvordan sådanne situationer skal håndteres i relation til fastlæggelse af opbevaringsperioder efter afsnit 3.2, herunder om den oprindelige opbevaringsperiode fortsat kan anvendes ved senere genanvendelse af materialet.
Regionerne efterspørger desuden en præcisering af, i hvilket omfang der, ved genanvendelse af biologisk materiale, skal gives information efter artikel 13 eller artikel 14 om de konkrete forskningsprojekter, hvori materialet indgår.
Dette er navnlig relevant, hvor forskningen gennemføres uden, at der indhentes nyt informeret etisk samtykke, og dermed i praksis kan have karakter af sekundær eller indirekte anvendelse af allerede indsamlede oplysninger.
Regionerne finder det i den forbindelse uklart, om der skal ske en projekt-specifik opfyldelse af oplysningspligten, hver gang materialet genanvendes, eller om en mere generel informationsmodel - fx knyttet til biobankens formål og forskningsområde, kan anses for tilstrækkelig, særligt i tilfælde hvor forskningen
gennemføres uden direkte kontakt til de registrerede. Der ønskes derfor en nærmere afklaring af samspillet mellem reglerne om opbevaring, viderebehandling og oplysningspligt ved denne forskningsform.
5. Tilsynsmyndighedernes rolle og håndhævelse
Regionerne finder, at vejledningen med fordel kan beskrive tilsynsmyndighedernes rolle mere eksplicit, så vejledningen kan anvendes som grundlag for en mere ensartet tilsynspraksis på tværs af medlemsstaterne, ved fx vurdering af DPIA’er, behandling af klagesager og tilsyn med større forskningsinfrastrukturer.
Vejledningen kan desuden med fordel pege på forhold, der kan begrunde et særligt tilsynsmæssigt fokus, fx behandling af store datamængder, særligt følsomme oplysninger, nye teknologier eller samarbejde med kommercielle aktører. En tydeligere beskrivelse af tilsynsmyndighedernes rolle vil kunne understøtte
et højere og mere ensartet beskyttelsesniveau på tværs af EU og give forskningsinstitutioner et klarere grundlag for at indrette interne governance og kontrolprocedurer.
Læs også Danske Regioners hørringssvar i PDF-format herunder: