sou · GLB339d2 · 1998-01-01 00:00:00 — För personuppgifter som lagras för historiska, statis- tiska eller vetenskapliga ändamål skall medlemsstaterna vidta lämpliga skyddsåtgärder. (Artikel 6.1 e.) SOU 1997: 39 Forskning och statistik 295 Enligt skulle behandling för forsknings- och statistik- ändamål av icke känsliga personuppgifter följa de allmänna reglerna i den föreslagna datalagen.247 För behandling av känsliga personuppgifter för sådana ändamål skulle det däremot föras in särskilda bestämmelser. Hu- vudregeln skulle vara att de enskilda skulle lämna ett skriftligt, informerat samtycke till behandlingen; skulle lämnade uppgifter användas för ett forsknings- eller statistikändamål som inte var förenligt med de ändamål som bestämts vid insamlingen, skulle ett nytt, skriftligt samtycke krävas. De särskilda bestämmelser som föreslogs reglerade de fall där behandling skulle vara tillåten trots att sådant samtycke inte hämtats in. Behandling utan samtycke skulle bara vara tillåten om det fanns särskilda skäl med hänsyn till N forsknings- eller statistikprojektets vikt, N behovet av personuppgifter, N säkerheten vid behandlingen av uppgifterna, och N den tid som uppgifterna skall behandlas. a)att det skulle vara synnerligen kostsamt eller tidsödande att hämta in samtycke, b)att den enskildes hälsotillstånd eller forsknings- eller statistikändamålet var sådant att en begäran om samtycke kunde antas skada den enskilde, eller c)att en kontakt med den enskilde skulle förrycka undersökningens resul- tat. Den enskilde skulle vidare ha rätt att anmäla att han eller hon inte ville delta i projektet. Efter en sådan anmälan skulle uppgifter om anmälaren inte få behandlas i projektet, och om uppgifterna redan var föremål för be- handling skulle de utplånas. I de fall där det var synnerligen kostsamt eller tidsödande att hämta in samtycke eller där den enskilde skulle kunna skadas om man begärde hans 247 Se avsnitt 10 i SOU 1993:10 (s. 175 ff.). 296 Forskning och statistik SOU 1997: 39 eller hennes samtycke (punkt a och b ovan) skulle information om be- handlingen i stället lämnas i tidningar eller på något liknande sätt. När en kontakt på förhand med den enskilde skulle förrycka undersökningsresul- tatet (punkt c ovan) skulle information lämnas till den enskilde efter in- samlingen av uppgifterna; innan så skett skulle uppgifterna inte få behand- las. Remissutfallet får betecknas som övervägande negativt. Flera remissin- stanser påpekade att ändamålen med en behandling ofta kan ändras ett forskningsprojekt pågår och att det skulle vara onödigt besvärligt att hämta in nytt samtycke varje gång. Många vände sig vidare mot att samtycket måste vara skriftligt; detta förutsågs bl.a. skapa problem när uppgifter hämtas in vid telefonintervjuer. Flera remissinstan- ser som representerar forskarsamhället ansåg att det borde finnas ett större utrymme för att bedriva registerforskning utan samtycke än vad utred- ningen föreslagit. Den obligatoriska rätten för enskilda att få undantas från ett projekt ansågs kunna skapa besvärliga bortfallsproblem. Vi tar här upp sådan behandling av personuppgifter för forskning och sta- tistik som inte är reglerad i särskilda författningar och där det inte i sär- skild ordning övervägs regler om användning av register för forskning och statistik. Sådana regler övervägs inom bl.a. hälso- och sjuk- vården248 – inklusive läkemedelsanvändningen249 – och rätts- psykiatrin.250 Det är onekligen ett viktigt samhällsintresse att det finns en fri och all- sidig vetenskaplig forskning, som kan generera ny eller fördjupad kunskap om förhållanden och samband, och att sådan statistik framställs som be- 248Se särskilt avsnitt 6.4 i SOU 1995:95 (s. 107 ff.). 1996/97:27 och SOU 1995:122. 250Se SOU 1996:72. SOU 1997: 39 Forskning och statistik 297 hövs för att överblicka och styra verksamheter. Detta torde inte behöva ut- vecklas närmare. Vi har inte fått några uppgifter om att det skulle förekomma att sådana personuppgifter som behandlas för forskning och statistik på ett otillbörligt sätt används för andra ändamål, t.ex. avslöjas för obehöriga eller används för att vidta åtgärder mot enskilda. Någon konkret misstanke om att per- sonuppgifter för forskning och statistik skulle missbrukas finns således inte. Ändå är de flesta människor negativa till att känsliga personuppgifter används för forskning och statistik utan att de tillfrågas först eller åtmins- tone har möjlighet att förhindra användningen. Det är nog användningen i sig utan möjlighet till inflytande för den enskilde som upplevs som ett be- svärande intrång i den personliga integriteten, även om behandlingen sker under sträng sekretess och annars betryggande former. Det är givetvis viktigt att man vid all forskning och framställning av statistik iakttar en hög etisk standard såväl i fråga om behandlingen av per- sonuppgifter som i övrigt. Genom att den aktuella verksamheten håller en genomgående hög etisk standard, kan allmänhetens förtroende behållas. När människor känner förtroende för en viss verksamhet, kan man i all- mänhet lita på att de är villiga att lämna sanningsenliga personliga uppgif- ter. Har människor inte det förtroendet ökar å andra sidan risken för att de lämnar medvetet felaktiga uppgifter eller undandrar sig medverkan eller på något annat sätt försvårar verksamheten. 11.6.2Huvudprincipen bör vara samtycke vid behandling av känsliga personuppgifter Allmänhetens inställning talar starkt för att huvudprincipen liksom skall vara att behandling av känsliga personuppgifter251 för forskning och statistik skall ske med samtycke; innebörden av begreppet samtycke berörs i avsnitt 12.2.9. Den huvudprincipen har också accepterats och används i forskarsamhället. Det står klart att huvudprincipen inte kan upp- rätthållas utan undantag. Viss forskning och statistik är så viktig att den inte kan få vara beroende av att varje berörd enskild har informerats och lämnat sitt samtycke. måste samhällsintresset få ta över intresset av att skydda enskildas personliga integritet. Att ett rättvisande cancerregister 251 Se avsnitt 12.5.3.2 beträffande definitionen av känsliga personuppgifter. 298 Forskning och statistik SOU 1997: 39 kan föras är t.ex. ett så viktigt samhällsintresse att man inte kan ta hänsyn till att av befolkningen anser att patientuppgifter inte skall få föras över dit. Sådan behandling av känsliga personuppgifter för forskning och statis- tik som sker med samtycke är egentligen inte problematisk; har den en- skilde frivilligt gått med på att personuppgifterna får användas, bör sam- hället inte därutöver ställa upp restriktioner för t.ex. forskningen. 11.6.3Behandling av känsliga personuppgifter utan samtycke 11.6.3.1Det måste ske en avvägning i varje enskilt fall Den svåra huvudfrågan när det gäller behandling av känsliga personupp- gifter för forskning och statistik är i stället att avgöra när sådan behandling bör få ske utan samtycke. Enligt vår mening måste det här alltid till en av- vägning i varje enskilt fall. Det bör här erinras om att det redan finns särskilda registerförfattningar för den allra viktigaste statistiken – den som är officiell – och att våra överväganden inte rör det som redan är särreglerat. Övervägandena i det följande avser således främst forskningen, där det inte finns någon generell registerförfattning, och de undantagsfall där känsliga personuppgifter be- handlas utan samtycke för att framställa statistik utan att det regleras av de särskilda registerförfattningarna om den officiella statistiken. Principen om en fri forskning gör att det finns många olikartade forsk- nings- och statistikprojekt och dessa pågår bara , även om vissa projekt kan vara avsedda att – om det finns pengar – hålla på . Den splittrade bilden medför att det framstår som ogörligt att annat än på vissa särskilda områden ha regler som på förhand anger vilka behandlingar av känsliga personuppgifter för forskning och statistik som skall vara tillåtna utan samtycke. Också vikten av att värna om forsk- ningens frihet talar emot att annat än undantagsvis ha av riksdag eller re- gering på förhand beslutade regler om vilken forskning som får bedrivas. Beträffande den officiella statistiken finns det numera en reglering av vilka register med känsliga personuppgifter som är tillåtna252, och beträffande vissa register för forskning och statistik inom hälso- och sjukvårdsområdet 252Se lagen och förordningen om vissa personregister för officiell statistik, SFS 1995:606 och 1060. SOU 1997: 39 Forskning och statistik 299 har en liknande reglering föreslagits.253 Men det är belysande att det ännu inte finns någon registerlag för forskningen, trots att det är fråga om ett viktigt samhällsområde där behandling av mycket känsliga personuppgifter ofta är nödvändig. Också det förhållandet att inte ens användningen för forskning av vissa administrativa statsmaktsregister har ansetts kunna reg- leras generellt i aktuella registerlagar visar på svårigheterna med generella regler på förhand.254 Man bör här även nämna den omständigheten att det dröjde så länge innan ens ett förenklat ansökningsförfarande för tillstånd till sådana forskningsregister som bygger på samtycke kunde antas.255 Vår slutsats är alltså att det inte är möjligt att i en ny datalag ha gene- rella regler som skulle motsvara en särskild registerlag för forskning och sådan statistik som inte redan regleras genom särskild registerförfattning, utan att det måste bli fråga om en avvägning i varje enskilt fall. Vid en så- dan avvägning måste, som vi ser det, olika faktorer kring forskningspro- jektet vägas mot intrånget i den enskildes personliga integritet. Det bör t.ex. göras en bedömning av hur pass viktig den kunskap är som forsk- ningsprojektet kan ge och om den kunskapen kan fås på något annat sätt än genom att behandla personuppgifter eller om intrånget i den personliga integriteten annars kan begränsas genom en annan uppläggning av projek- tet. Det är t.ex. viktigt att möjligheterna att bedriva forskningen eller fram- ställa statistiken utan att använda personanknutna uppgifter alltid under- söks. 11.6.3.2Vem bör göra avvägningen Den nuvarande datalagen bygger på att det är Datainspektionen som i samband med sin tillståndsgivning bestämmer om det skall krävas sam- tycke eller inte. Inspektionen anser sig dock inte ha kompetens att bedöma forskningsprojektet som sådant. Redan av den anledningen är det enligt vår mening inte lämpligt att inspektionen gör den nödvändiga avvägningen i varje enskilt fall. Härtill kommer att en ny datalag inte bör bygga på ett system med tillstånd av Datainspektionen, se avsnitt 12.12. 253Se t.ex. SOU 1995:95. 1992/93:193 s. 21 f. (sjukförsäkringsregister hos de allmänna försäk- ringskassorna) och 1993/94:235 s. 19 (arbetsförmedlingsregister). 255Jämför t.ex. DsJu 1981:15 s. 166 f., där det – – föreslås att Datain- spektionen skall utforma ett förenklat ansökningsförfarande för vetenskapliga re- gister. 300 Forskning och statistik SOU 1997: 39 inte heller en framkomlig väg att inspektionen på ett eller annat sätt tillförs nödvändig kunskap för att göra avvägningen.256 förslag innebär i praktiken att en s.k. avvägnings- norm tas in i lagtexten. En sådan regel (norm) ger uttryck för att det skall ske en avvägning mellan olika intressen och kan också mer eller mindre precist ange vilka faktorer som kan beaktas i samband med intresseavväg- ningen. De faktorer som utredningen angav skulle beaktas – se avsnitt 11.5.1 – kan vi i huvudsak ställa oss bakom. Utredningens förslag innebär vidare i praktiken att den enskilde forskaren skulle göra avvägningen med risk för att vid en (oaktsam) felbedömning drabbas av sanktioner, t.ex. sättas i fängelse. Enligt vår mening är den avvägning som måste ske så känslig och så svår att göra att den som huvudregel inte bör överlåtas åt varje enskild forskare vid varje enskilt forskningsprojekt; det krävs större vana och kun- skap för att göra den avvägning som behövs. Det framstår också som mindre lämpligt att den forskare som anser det lönt att använda av sitt liv för att genomföra ett visst forskningsprojekt själv skall göra en bedömning av vikten av det egna projektet och det integritetsintrång som han eller hon kan förorsaka enskilda. Våra överväganden har lett oss fram till slutsatsen att det krävs att avvägningen i de enskilda fallen som regel görs av någon oberoende in- stans som har kunskap och vana att göra bedömningar av såväl risken för otillbörliga integritetsintrång som forskningsprojektet som sådant. Vi har inte lyckats finna någon annan lämplig sådan instans än de forsknings- etiska kommittéer som finns; att tillskapa en helt ny instans för att pröva nu aktuella frågor har vi inte funnit lämpligt eller nödvändigt. Som framgår av avsnitt 11.3.3 finns på de humanistisk-samhällsveten- skapliga, socialvetenskapliga och medicinska forskningsområdena forsk- ningsetiska kommittéer med hög kompetens och med företrädare även för det allmänna. Att en forskningsetisk kommitté har godkänt ett forskningsprojekt ut- gör en presumtion för att projektet är upplagt på ett godtagbart sätt och att det är så viktigt att ett visst intrång i den enskildes personliga integritet bör tillåtas av hänsyn till samhällsintresset av att projektet kan genomföras. 256 Jämför SOU 1978:54 s. 188 f. och 190 samt därtill prop. 1978/79:109 s. 13. SOU 1997: 39 Forskning och statistik 301 Såvitt vi har kunnat finna utgör den forskningsetiska granskningen en tillräcklig garanti för att behandling av känsliga personuppgifter för forskning och statistik används utan samtycke bara i de undantagsfall där det är verkligen befogat med hänsyn till samhällsintresset att forskningen kommer till stånd. Också frågan om i vad mån och hur information skall lämnas i de sällsynta fall där samtycke inte krävs verkar hanteras på ett omdömesgillt sätt av de forskningsetiska kommittéerna. De forskningsetiska kommittéernas verksamhet är inte författningsreg- lerad.257 Kommittéerna skulle – om det i lagstiftningen angavs att person- uppgifter för forskning fick användas utan samtycke om kommittén god- känt projektet – visserligen inte åläggas någon utövning av offentlig makt. Men kommittéernas inställning är givetvis ändå av största betydelse. Våra kontakter med de forskningsetiska kommittéerna har visat att de genomgående är positiva till ett sådant system som skisserats. Kommittéerna verkar vidare ha möjlighet att praktiskt ta hand om den ökade mängd granskningsärenden som kan förväntas med ett nytt system. Det finns dock en inneboende motsättning som man bör vara uppmärk- sam på och som bör nämnas i sammanhanget. De forskningsetiska kommittéerna är nämligen knutna till de forskningsråd som ger pengar till forskningsprojekten. Och ju mer information osv. som kommittéerna krä- ver, desto mindre forskning blir det för rådets pengar. Risken för att kommittéerna på ett otillbörligt sätt av ekonomiska skäl skulle ge avkall på kravet på samtycke får dock inte överdrivas. Såvitt framkommit har kommittéerna den självständighet och integritet som krävs. Även de jävsproblem som alltid uppkommer när yrkeskollegor skall bedöma var- andras projekt bör uppmärksammas. I bland annat detta hänseende kan det allmännas medverkan och inflytande i kommittéerna ha stor betydelse. Ytterligare en fördel med ett system med godkännande av en forsk- ningsetisk kommitté är att det för dessa fall inte torde finnas något behov av en definition av vad som är forskning eller vilka som är forskare. Det får nämligen förutsättas att kommittén bara godkänner sådan forskning som bedrivs vetenskapligt och som är väsentlig. Vi har alltså kommit fram till att behandling utan samtycke av känsliga personuppgifter för forskning och statistik bör tillåtas när en forsknings- etisk kommitté har granskat och godkänt projektet; vad kommittén kan ha 257I rättsfallet RÅ 1979 2:11 ansågs en etisk kommitté vid i utgöra en myndighet i tryckfrihetsförordningens mening. 302 Forskning och statistik SOU 1997: 39 kommit fram till i fråga om t.ex. information till de enskilda skall givetvis följas för att behandlingen skall anses tillåten. Den persondataansvarige skall alltså inte kunna drabbas av sanktioner – främst skadestånd – för att han eller hon behandlar känsliga personuppgifter för forsknings- eller sta- tistikändamål, om han eller hon följer vad den forskningsetiska kommittén har bestämt. Att de forskningsetiska kommittéerna ges inflytande över om samtycke skall krävas innebär inte att Datainspektionen skulle vara avskuren från att utöva effektiv tillsyn över aktuella forskningsprojekt. Det bör visserligen inte vara Datainspektionens uppgift att meddela tillstånd till registerforsk- ning utan samtycke. En sådan uppgift skulle innebära en dubbelkontroll och strida mot våra strävanden att föra bort så mycket av den byråkratiska prövningen som möjligt. Som förut anförts bedömer Datainspektionen inte heller forskningsprojekten som sådana. Däremot skall de allmänna reglerna om säkerhet vid behandlingen (se avsnitt 12.10) och om inspektionens till- syn och befogenheter i övrigt (se avsnitt 12.14.1.3) givetvis gälla. Genom att material kring nu aktuella behandlingar finns samlade hos ett fåtal forskningsetiska kommittéer, kan inspektionen enkelt få en överblick. Det får vidare förutsättas att inspektionen och de forskningsetiska kommittéerna regelbundet samråder med varandra på lämpligt sätt, t.ex. genom återkommande konferenser eller seminarier i fråga om persondata- skyddet och att samråd vid behov även sker med andra berörda myndighe- ter, t.ex. . Inspektionen bör givetvis noga följa utvecklingen på detta område och, om det visar sig nödvändigt, ta initiativ till de författ- ningsändringar som de ytterligare erfarenheterna av kommittéernas hante- ring av dessa frågor kan föranleda. Det skall, som sagts, också tillsättas en parlamentarisk utredning för att göra en översyn av den forskningsetiska verksamheten. Frågorna kommer således att få en ordentlig genomlysning. Det är möjligt att resultatet av översynen kommer att bidra till att ge den forskningsetiska granskningen ytterligare stadga och att den viktiga frågan om det allmännas medverkan och inflytande uppmärksammas. I vart fall kommer översynen att kunna ge ett underlag för förnyade överväganden om de forskningsetiska kommittéernas medverkan vid prövningen av forskningsprojekt som innefattar behandling av personuppgifter. Med en forskningsetisk kommitté avses i vårt förslag en sådan kommitté eller liknande som motsvarar de kommittéer som nämnts i avsnitt 11.3.3. Det bör emellertid inte föreligga något hinder att prövning av andra forskningsetiska kommittéer, anslutna exempelvis till privata stiftelser, SOU 1997: 39 Forskning och statistik 303 som finansierar forskning i betydande omfattning, tillmäts samma be- tydelse. En förutsättning bör vara att det i en sådan kommitté sitter företrä- dare för både det allmänna och forskarsamhället. Hur sådana kommittéer skall utses bör inte utan särskild utredning regleras i lag, eftersom det är fråga om frivilligt upprättade organ och förhållandena kan vara skiftande. Det kommer också att inledas en översyn av den forsknings- etiska verksamheten. Om den här förordade lösningen framstår som alltför löslig, bör övervägas att kräva ett godkännande av Datainspek- tionen för att en kommittés prövning skall tillmätas den betydelse som här föreslås. Detta kan vara ett alternativ till att annars kräva förhandsgransk- ning av Datainspektionen av registerforskning utan samtycke när prövning inte gjorts av någon av de etablerade forskningsetiska kommittéerna. Det finns inte någon definition av forskningsetisk kommitté i lagstiftningen. I 14 c § läkemedelsförordningen (1962:701) nämns dock yttrande från en regional forskningsetisk kommitté som en förutsättning för att klinisk läkemedelsprövning skall få påbörjas.258 Vi anser att det är värdefullt att i lagtexten ta in en definition. En ändamålsenlig definition av de forskningsetiska kommittéer som avses torde vara: Ett sådant särskilt organ för prövning av forskningsetiska frågor som har företrädare för såväl det allmänna som forskningen och som är knutet till ett universitet eller en högskola eller till någon annan instans som i mera betydande omfattning finansierar forskning. 11.6.3.4En avvägningsnorm i lagtexten Enligt vår mening är det inte tillräckligt med en regel om godkännande av en forskningsetisk kommitté. Det finns nämligen inte någon garanti för att all vetenskaplig forskning där det kan vara befogat att behandla känsliga personuppgifter utan samtycke kan prövas av någon forskningsetisk kommitté, och på det renodlat statistiska området kan det vara befogat att – utanför området för den särskilt lagreglerade officiella statistiken – på detta sätt behandla känsliga personuppgifter. Beträffande vetenskaplig forskning bör det röra sig om ett förhållande- vis begränsat antal projekt som av en eller annan anledning inte kan prövas av en forskningsetisk kommitté. Beträffande den medicinska forskningen verkar de flesta bedömare ense om att systemet med forskningsetisk 258Jämför 3 kap. 13 § högskoleförordningen (1993:100) angående högskolans möj- ligheter att ta betalt för den forskningsetiska prövningen. 304 Forskning och statistik SOU 1997: 39 granskning är i det närmaste heltäckande. Vi har beträffande övrig forsk- ning försökt ta reda på hur stor andel av forskningen med personuppgifter som kan tänkas bedrivas utan möjlighet till forskningsetisk prövning. Det har emellertid visat sig vara omöjligt att få fram uppgifter om det. De uppskattningar som olika bedömare gjort är osäkra och varierar en del. Egentliga registerforskningsprojekt, där många uppgifter hämtas in från befintliga register, torde dock så gott som undantagslöst ha granskats av forskningsetisk kommitté. Mindre register, som forskaren själv upprättar t.ex. över ett begränsat antal undersökningspersoner under forskningspro- jektets gång, kan emellertid förekomma utan att ha granskats forsknings- etiskt. Någon alternativ prövningsinstans för de projekt som inte har till- gång till granskning av forskningsetiska kommittéer har vi inte lyckats finna. Med vetenskaplig forskning avses här i första hand den verksamhet som bedrivs vid etablerade institutioner, såsom universitet och högskolor eller privata, väletablerade forskningsinstitut.259 Släktforskning faller utanför, liksom annan forskning av mera privat natur260; det måste finnas ett samhällsintresse av att forskningen bedrivs och den måste vara veten- skaplig i någon mening. När det gäller det renodlat statistiska området, täcks registerhante- ringen beträffande den allra mest väsentliga statistiken redan av särskild lagstiftning. Det kan emellertid finnas ett så starkt samhällsintresse att även annan statistik framställs att man bör tillåta det intrång i den enskil- des personliga integritet som behandling av känsliga personuppgifter utan samtycke utgör. Den framställning av statistik som det kan vara fråga om torde så gott som uteslutande utföras av myndigheter, kanske främst Sta- tistiska centralbyrån. Den behandling av känsliga personuppgifter för framställning av statistik som privata företag utför, t.ex. för opinions- eller marknadsundersökningar, bör liksom som regel grundas på samtycke. 259Se SOU 1993:10 s. 198 för en något mera utförlig beskrivning av vilka verksam- heter som kan avses. – Också den forskning som en pensionerad professor kan be- driva får som regel betraktas som en sådan etablerad verksamhet, även om pro- fessorn är knuten till någon institution. 260Jämför beträffande privat undersökningsverksamhet som inte ansetts som forsk- ning t.ex. RÅ 1994 ref. 75 (frilansjournalist som skulle skriva bok om nazister) och regeringsbeslut , dnr 88-573 (nazistregister som skulle användas vid föreläsningar m.m.). SOU 1997: 39 Forskning och statistik 305