Bakgrund till klagomålet

1. I mars 2021 ansökte klaganden om allmänhetens tillgång^[1] till handlingar hos Europeiska läkemedelsmyndigheten (EMA) och begärde tillgång till dokumentationen för godkännande för försäljning av Zyprexa (Olanzapin), ett läkemedel som används för att behandla schizofreni och bipolär sjukdom och som har saluförts i EU sedan 1996.

2. I november 2021 lämnade EMA ut rapporten om den kliniska studien från april 1995 till klaganden, med förbehåll för redigeringar av vissa personuppgifter om de patienter som ingick i den kliniska prövningen i fråga, inbegripet redigeringar av patienternas kön samt av de ID-nummer (pseudonymer) som tilldelats patienterna under den kliniska prövningen. EMA ansåg att utlämnande av denna information skulle undergräva de berörda patienternas integritet och integritet och att klaganden inte hade visat att överföringen av denna information var nödvändig i allmänhetens intresse^[2].

3. Klaganden ifrågasatte EMA:s vägran att lämna ut patient-ID-nummer och patienternas kön (genom att lämna in en ”bekräftande ansökan”). Han hävdade att det på grund av tidens gång kunde antas att relevanta ytterligare uppgifter som skulle göra det möjligt att återidentifiera de berörda patienterna måste ha raderats vid det här laget. Han hävdade också att det var nödvändigt att uppge patientens ID-nummer och kön för att allmänheten fullt ut skulle kunna förstå resultaten av den kliniska studien och kontrollera det berörda läkemedlets säkerhet och effekt.

4. I januari 2022 utfärdade EMA ett bekräftande beslut om att neka tillgång till de personuppgifter som klagandens bekräftande ansökan avsåg.

5. Klaganden var missnöjd med detta resultat och vände sig till ombudsmannen i februari 2022.

Utredningen

6. Ombudsmannen inledde en undersökning av EMA:s vägran att ge allmänheten tillgång till de berörda personuppgifterna.

7. Under undersökningens gång inspekterade ombudsmannens undersökningsgrupp den aktuella kliniska studierapporten och höll ett möte med EMA:s företrädare för att diskutera klagomålet. En rapport om detta möte^[3] delades sedan med klaganden, som inte kommenterade rapporten. Under undersökningens gång mottog ombudsmannen emellertid ytterligare argument från klaganden och därefter EMA:s svar på klagandens argument.

Argument som framförts till ombudsmannen  

8. Vid mötet med ombudsmannens undersökningsgrupp förklarade EMA att den tillämpar ett enhetligt tillvägagångssätt för att bedöma handlingar som allmänheten begär tillgång till. Den klassificerar först en handling utifrån dess sammanhang och nivån på personuppgifter och vilken typ av personuppgifter den innehåller och utvärderar sedan de personuppgifter som finns däri. Vid bedömningen av personuppgifter i en klinisk studierapport bedömer EMA risken för återidentifiering för de berörda patienterna, med beaktande av olika aspekter, såsom förekomsten av det aktuella tillståndet, antalet patienter som deltog i den kliniska prövningen och den kliniska prövningens varaktighet.

9. I förevarande fall hade EMA konstaterat att de aktuella personuppgifterna avsåg en icke-sårbar patientgrupp, att antalet patienter som hade deltagit i den kliniska prövningen hade varit förhållandevis litet, att den kliniska prövningen hade genomförts under en kort period och endast i ett land och att den inte avsåg en sällsynt sjukdom eller ett särläkemedel. På grundval av detta hade EMA klassificerat studien som att den gav upphov till en ”medelhög” risk för återidentifiering och drog, med hjälp av sin särskilda metod för sin detaljerade riskbedömning, slutsatsen att viss information, såsom patienternas ålder, kunde lämnas ut, medan tillgång måste nekas till patientens ID-nummer och patienternas kön.

10. När det gäller patient-ID-nummer sade EMA att dessa är pseudonymer som möjliggör återidentifiering av patienterna och att risken för återidentifiering från deras utlämnande anses vara hög eftersom de är unika. EMA lämnar därför i allmänhet inte ut denna information.

11. EMA tillade att patient-ID-nummer genereras och lagras av det företag som utför den kliniska prövningen och att de vanligtvis sparas under en lång period, till exempel om det blir nödvändigt att kontakta en patient. EMA sade att den inte kan kontrollera vilken information tredje part kan ha och att patienternas rätt att få sina personuppgifter skyddade fortsätter.

12. EMA gjorde även gällande att de aktuella patient-ID-numren även innehåller ID-numret för de respektive utredare som hade behandlat de berörda patienterna. Ett utlämnande skulle således avslöja det geografiska läget för den plats där en viss patient behandlades, vilket skulle öka risken för återidentifiering.

13. När det gäller patienternas kön uppgav EMA att faktorn ”ålder” (som den hade avslöjat) var medicinskt mer signifikant än faktorn ”kön”. Att avslöja både ålder och kön skulle avsevärt ha ökat risken för återidentifiering av patienterna när de lästes tillsammans med den information som hade avslöjats.

14. I sitt bekräftande beslut uppgav EMA också att eventuella könsrelaterade skillnader skulle ha beaktats av de experter som utvärderade läkemedlet innan godkännandet för försäljning beviljades och att deras synpunkter skulle återspeglas i det relevanta utredningsprotokollet [4].

15. Klaganden ifrågasatte EMA:s uttalande om att den vanligtvis inte lämnar ut patient-ID-nummer och hävdade att EMA tidigare hade lämnat ut sådan information till allmänheten.

16. Som svar bekräftade EMA att den hade lämnat ut patient-ID-nummer vid två tillfällen under åren 2011 och 2012. Den uppgav att den inte hade ansett att denna information utgjorde personuppgifter då, men att den hade ändrat sitt tillvägagångssätt sedan dess, på grundval av domstolsavgöranden^[5] och synpunkter från andra organ^[6].

17. Klaganden uttryckte också oro över den berörda tillverkarens integritet. Han hänvisade till ett beslut av en nationell myndighet att inte godkänna ett annat läkemedel som tillverkas av denna tillverkare och till stämningar om produktansvar mot denna tillverkare i Förenta staterna som grundades på dess främjande av off-label-användning av det aktuella läkemedlet.

Ombudsmannens bedömning

18. Begreppet ”personuppgifter” enligt EU:s dataskyddsregler^[7] är mycket brett. Det omfattar ”varje upplysning som avser en identifierad eller identifierbar fysisk person” ^[8].

19. Dessutom är rätten att få sina personuppgifter skyddade en grundläggande rättighet som inte har något utgångsdatum^[9].

20. Den aktuella informationen avser patienter som deltog i en klinisk prövning. Även om patienterna inte har identifierats anser ombudsmannen att det är rimligt att anse att utlämnande av de ID-nummer som tilldelats dem under den kliniska prövningen eller deras kön kan riskera att de indirekt identifieras.

21. När det gäller patient-ID-nummer har EMA förtydligat att den nyckelkod som behövs för att återidentifiera patienterna fortfarande kan lagras av tredje part och att delar av detta nummer avser det geografiska läget för de platser där de berörda patienterna har behandlats. Med tanke på att EMA har lämnat ut viktig information om dessa patienter (t.ex. deras ålder och sjukdomshistoria) skulle utlämnande av patient-ID-nummer dessutom göra det möjligt för läsaren av den kliniska studierapporten att samla in ett betydande antal uppgifter om specifika patienter. Detta skulle i sin tur öka risken för att de återidentifieras.

22. En granskning av den aktuella kliniska studierapporten visade att patienternas pseudonymer i allmänhet nämns flera gånger i handlingen. Ombudsmannen håller därför med om att det rimligen kan förutses att utlämnande av denna information skulle öka risken för återidentifiering av de berörda patienterna.

23. Om någon pseudonym nämndes endast en gång skulle det vara meningslöst för klaganden att lämna ut denna information.

24. Ombudsmannen noterar också att ett ersättande av pseudonymerna inte skulle undanröja denna risk för återidentifiering, eftersom det helt enkelt skulle ersätta en unik identifierare med en annan.

25. Detsamma gäller för patienternas kön. Även om denna information i sig inte nödvändigtvis gör en person identifierbar, skulle patientens kön öka sannolikheten för återidentifiering om den jämfördes med den information som lämnades ut.

26. Mot bakgrund av allt detta anser ombudsmannen att den aktuella informationen utgör personuppgifter i den mening som avses i EU:s dataskyddsregler och att den endast kan lämnas ut i enlighet med dessa regler.

27. Enligt EU:s dataskyddsregler måste en person som ansöker om tillgång till personuppgifter visa att han eller hon har ett särskilt behov av att få sådan tillgång.^[10] Dessutom måste detta särskilda behov tjäna ett allmänintresse. Även om det finns ett sådant behov kan personuppgifterna inte lämnas ut om den registrerade har ett berättigat intresse av att inte lämna ut dem, vilket väger tyngre än detta behov. Slutligen, även om detta kriterium är uppfyllt, kan utlämnande av personuppgifter endast ske om det är det lämpligaste sättet att uppnå det syfte som eftersträvas av den person som begär tillgång. Om det finns ett alternativt, mindre inkräktande sätt att uppnå samma syfte måste detta användas i stället för att ge tillgång till personuppgifterna.

28. När det gäller personuppgifter som rör enskilda personers hälsa, som i detta fall, erkänns det dessutom i EU:s dataskyddsregler att sådan information är särskilt känslig och därmed ger en högre skyddsnivå.^[11] Tröskelvärdet för att fastställa ett behov av utlämnande i allmänhetens intresse är därför högre än i fall som rör allmänhetens tillgång till mindre känsliga personuppgifter.

29. Klaganden hävdade att personuppgifterna i fråga borde lämnas ut för att göra det möjligt för allmänheten att kontrollera det berörda läkemedlets säkerhet och effektivitet.

30.  Ombudsmannen håller med om att det i princip är viktigt att kliniska studierapporter görs tillgängliga, så att oberoende forskare kan kontrollera det berörda läkemedlets säkerhet och effektivitet.

31. Ombudsmannen noterar att EMA har offentliggjort den kliniska studierapporten med mycket begränsade redigeringar.

32. När det gäller de mycket begränsade redigeringar som EMA gjorde noterar ombudsmannen att EMA försökte identifiera vilken information om patienter som är av störst kliniskt värde och har offentliggjort denna information. Den slog fast att information om ålder och etniskt ursprung var av större kliniskt värde än information om kön och offentliggjorde informationen om ålder.

33. Klaganden har inte lagt fram några vetenskapliga argument för varför information om kön skulle vara avgörande för förståelsen av den kliniska studierapporten. Ombudsmannen anser således att maskeringen av patienternas kön inte hindrar allmänheten, inbegripet oberoende forskare, från att utvärdera den kliniska studierapporten.

34. När det gäller redigeringen av pseudonymer noterar ombudsmannen att även om utlämnande av pseudonymer i princip skulle kunna bidra till en fullständig förståelse av kliniska studierapporter, måste patienternas legitima intressen beaktas. Patienterna har ett legitimt intresse av att skydda sin identitet. Avslöjande av pseudonymer skulle göra det möjligt för tredje part att samla in stora mängder information om varje individ, vilket gör det mer sannolikt att patienter kan bli identifierbara.

35. Även om klaganden också uttryckte farhågor om den berörda tillverkarens integritet, är dessa mycket allmänna till sin natur. De är i sig inte tillräckliga för att fastställa att det i allmänhetens intresse är nödvändigt att lämna ut patienternas personuppgifter.

Slutsats

På grundval av undersökningen avslutar ombudsmannen detta ärende med följande slutsats:

Europeiska läkemedelsmyndigheten har inte gjort sig skyldig till något administrativt missförhållande genom att vägra tillgång till de aktuella personuppgifterna.

Klaganden och EMA kommer att informeras om detta beslut.

Emily O'Reilly
Europeiska ombudsmannen

Strasbourg den 20 juni 2022

[1] Enligt förordning (EG) nr 1049/2001 om allmänhetens tillgång till Europaparlamentets, rådets och kommissionens handlingar gäller följande: https://eur-lex.europa.eu/legal-content/EN/ALL/?uri=celex%3A32001R1049, som är tillämplig på handlingar som innehas av EMA i enlighet med artikel 73 i förordning (EG) nr 726/2004 om inrättande av gemenskapsförfaranden för godkännande av och tillsyn över humanläkemedel och veterinärmedicinska läkemedel samt om inrättande av en europeisk läkemedelsmyndighet: https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=celex%3A32004R0726.

[2] I enlighet med artikel 4.1 b i förordning 1049/2001.

[3] Den fullständiga mötesrapporten finns på följande webbplats: https://www.ombudsman.europa.eu/en/doc/inspection-report/en/156981.

[4] Finns på: https://www.ema.europa.eu/en/medicines/human/EPAR/zyprexa#:~:text=Zyprexa%20is%20usually%20taken%20by,be%20obtained%20with%20a%20prescription.

[5] EMA hänvisade till beslut av domstolens vice ordförande i målen EMA/AbbVie, C-389/13 P(R): https://curia.europa.eu/juris/document/document.jsf?text=&docid=145282&pageIndex=0&doclang=EN&mode=lst&dir=&occ=first&part=1&cid=5802615 och EMA/Intermune, C-390 P(R): https://curia.europa.eu/juris/document/document.jsf?text=&docid=145281&pageIndex=0&doclang=EN&mode=lst&dir=&occ=first&part=1&ampcid=5802615.

[6] EMA hänvisade till exempel till skäl 17 i kommissionens genomförandeförordning (EU) nr 520/2012 om säkerhetsövervakning av läkemedel: https://eur-lex.europa.eu/LexUriServ/LexUriServ.do?uri=OJ:L:2012:159:0005:0025:EN:PDF och på sidan 11 f i Europeiska dataskyddsstyrelsens svar av den 2 februari 2021 på Europeiska kommissionens begäran om förtydliganden om en konsekvent tillämpning av den allmänna dataskyddsförordningen, med fokus på hälsoforskning: https://edpb.europa.eu/sites/default/files/files/file1/edpb_replyec_questionnaireresearch_final.pdf.

[7] Förordning 2018/1725 om skydd för fysiska personer med avseende på behandling av personuppgifter som utförs av unionens institutioner, organ och byråer och om det fria flödet av sådana uppgifter: https://eur-lex.europa.eu/eli/reg/2018/1725/oj.

[8] Artikel 3.1 i förordning 2018/1725.

[9] Artikel 8 i Europeiska unionens stadga om de grundläggande rättigheterna: https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:12012P/TXT.

[10] I enlighet med artikel 9.1 b i förordning 2018/1725.

[11] I enlighet med artikel 10 i förordning 2018/1725.