prop · GQ0350 · 2003-01-21 00:00:00 — behandling och som inte bevaras än ca , inte omfattas av lagens bestämmelser. Endast biobanker som inrättas av vårdgivare, såväl offentligt som enskilt verksamma, omfattas av lagen. Lagen gäller dock också när prover från biobanker i hälso- och sjukvården av vårdgivaren lämnas ut för något annat ändamål än det ursprungligen fastlagda och för att förvaras och användas i en nybildad biobank hos en annan vårdgivare, en enhet för forskning eller diagnostik, en offentlig forskningsinstitution, ett läkemedelsbolag eller hos en annan Med vävnadsprov avses biologiskt material från människa (1 kap. 2 §). När en biobank inrättas skall huvudmannen för biobanken bl.a. besluta om de ändamål för vilka biobanken skall användas (2 kap. 1 §). för vård och behandling och andra medicinska ändamål får en biobank användas bara för vissa i lagen angivna ändamål. Ett av dessa angivna ändamål är forskning (2 kap. 2 §). Är avsikten att en biobank användas för ändamål som avser forskning eller klinisk prövning får beslut som avses i 1 § fattas först efter prövning och godkännande av en forskningsetisk kommitté (2 kap. 3 §). Biobanken får i sådana fall inte användas för annat ändamål än som tidigare beslutats utan att kommittén Med forskningsetisk kommitté avses ett särskilt organ för prövning av forskningsetiska frågor som har företrädare för såväl det allmänna som forskningen och som är knutet till ett universitet eller en högskola eller till någon annan instans som i mera betydande omfattning finansierar forskning (1 kap. 2 §). Lagen innehåller särskilda bestämmelser om information och Huvudregeln är att vävnadsprover inte får samlas in och bevaras i en biobank utan att provgivaren har informerats och lämnat sitt samtycke till detta och till de ändamål för vilka biobanken får användas (3 kap. 1 §). Vidare anges att vävnadsprover som bevaras i en biobank inte får användas för annat ändamål än som omfattas av tidigare information och samtycke utan att den som lämnat samtycket har informerats om och samtyckt till det nya ändamålet (3 kap. 5 §). avseende finns dock ett undantag. Om det nya ändamålet avser forskning eller klinisk prövning skall den forskningsetiska kommitté godkänner det nya ändamålet i samband med godkännandet också Prop. 2002/03:50 besluta om vilka krav som skall gälla i fråga om information och samtycke för att vävnadsproverna i biobanken skall få användas för det nya ändamålet (3 kap. 5 § tredje stycket). De personuppgifter om provgivarna som finns i register eller i annan form i anslutning till en biobank utgör inte en del av biobanken. Dessa uppgifter omfattas dock bl.a. av bestämmelserna i personuppgiftslagen (1998:204). skall se till att lagen efterlevs och skall föra ett register över vissa grundläggande uppgifter om biobankerna. Lagen trädde i kraft . Syftet med personuppgiftslagen (1998:204) är att skydda människor mot att deras personliga integritet kränks vid behandling av personuppgifter. Med personuppgift avses all slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet. Som exempel på personuppgift kan nämnas namn på en person, personnummer, kundnummer osv. Även bild- och ljuduppgifter om fysiska personer omfattas. Information som kan hänföras till enskilda personer bara i egenskap av medlemmar av en större grupp personer torde inte vara att anse som personuppgifter, t.ex. information om "de anställda i ". All information som "kan" hänföras till en viss person är personuppgifter. Enligt (SOU 1997:39) krävs det bara att en fysisk person kan identifieras med hjälp av informationen, inte att den personuppgiftsansvarige själv skall förfoga över samtliga uppgifter som gör identifiering möjlig. Krypterade uppgifter omfattas således av lagen så länge någon kan göra uppgifterna läsbara och därmed identifiera enskilda personer. Det är alltså inte tillräckligt att den personuppgiftsansvarige tillfälligt eller definitivt avhänder sig krypteringsnyckeln. Även sådana i sig anonyma uppgifter som gör det möjligt med s.k. bakvägsidentifikation av en fysisk person omfattas. Det räcker att informationen indirekt kan hänföras till en viss person. Ett trafikföretag kan t.ex. registrera när ett personligt och numrerat s.k. månadskort används vid resor. Även om trafikföretaget inte registrerat vem som innehar månadskortet, kan det enligt ändå vara fråga om en personuppgift eftersom den uppgiften kan finnas registrerad på något annat håll, t.ex. hos den skola eller socialförvaltning som delat ut kortet. Med behandling av personuppgift avses varje åtgärd som vidtas i fråga om personuppgifter, vare sig det sker på automatisk väg eller inte, t.ex. insamling, registrering, organisering, lagring, bearbetning eller ändring, återvinning, inhämtande, användning, utlämnande genom översändande, spridning eller annat tillhandahållande av uppgifter, sammanställning eller samkörning, blockering, utplåning eller förstöring av uppgifter. Alla former av hantering omfattas. Med personuppgiftsansvarig avses den som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandling av personuppgifter. Inom en statlig myndighet (t.ex. ett lärosäte) eller ett företag är det normalt inte den enskilde forskaren som är den personuppgiftsansvarige, utan dennes arbetsgivare. Lagen omfattar all helt eller delvis automatiserad behandling av personuppgifter oavsett om uppgifterna finns i ett register eller i löpande text och dessutom behandling av personuppgifter i register. I sist nämnda fall måste uppgiftssamlingen vara strukturerad och tillgänglig för sökning eller sammanställning enligt särskilda kriterier. Lagen gäller inte för sådan behandling av personuppgifter som en fysisk person utför som ett led i en verksamhet av rent privat natur, t.ex. korrespondens, förande av adressregister, förandet av elektronisk dagbok, registrering av grannar och släktingar eller egen ord- och textbehandling. Förmodligen ankommer det på den som påstår att lagen är tillämplig att visa det, t.ex. genom att visa att personuppgifterna har använts i förvärvsverksamhet eller spritts okontrollerat. Lagen gäller inte den grundlagsskyddade rätten att framställa yttranden, t.ex. i en tryckt skrift eller ett radioprogram. Den behandling av personuppgifter som sker inom vetenskaplig verksamhet syftar ofta ytterst till publicering av resultaten av verksamheten. I vilken utsträckning behandling av personuppgifter som ett led i sådan verksamhet är skyddad av tryckfrihetsförordningen eller yttrandefrihetsgrundlagen får anses oklart. Lagen gäller heller inte den grundlagsskyddade rätten att sprida yttranden, t.ex. i ett radioprogram. Inte heller omfattar personuppgiftslagen den grundlagsskyddade s.k. meddelarfriheten, dvs. rätten för var och en att lämna uppgifter för offentliggörande i massmedia. Personuppgiftslagen avser inte heller den grundlagsskyddade anskaffarfriheten, som avser sådan behandling av personuppgifter som innebär att uppgifter anskaffas för offentliggörande i massmedia eller för att utnyttja den tidigare nämnda meddelarfriheten. Vissa bestämmelser i personuppgiftslagen skall under inga förhållanden tillämpas på sådan behandling av personuppgifter som sker uteslutande för journalistiska ändamål eller konstnärligt eller litterärt skapande. I praktiken innebär det att bara de bestämmelser i personuppgiftslagen som rör säkerhet skall tillämpas på sådan behandling. Det har ansetts viktigt att det även vid sådan behandling finns en lämplig säkerhetsnivå så att personuppgifter inte t.ex. läcker ut eller annars sprids på ett icke avsett sätt. Behandlingen skall avse uteslutande journalistiska ändamål eller konstnärligt eller litterärt skapande. Reklam som framställs främst för andra ändamål kan därför inte hänföras hit ens om alstren innefattar ett visst mått av t.ex. konstnärligt skapande. Beträffande personuppgiftslagens förhållande till offentlighetsprincipen och myndigheters arkivering gäller i korthet följande. Offentlighetsprincipen (2 kap. tryckfrihetsförordningen) innefattar en rätt för varje svensk medborgare att hos främst myndigheter ta del av allmänna handlingar med personuppgifter i den utsträckning handlingarna inte innehåller uppgifter för vilka gäller sekretess. I sekretesslagen (1980:100) finns en bestämmelse i 7 kap. 16 § som stadgar att sekretess gäller för personuppgift, om det kan antas att ett utlämnande skulle medföra att uppgiften behandlas i strid med personuppgiftslagen. Andra bestämmelser om sekretess kan också vara tillämpliga i fråga om personuppgifter. tillämpas i den utsträckning det skulle inskränka en myndighets skyldighet att enligt offentlighetsprincipen lämna ut personuppgifter (lex superiori). De bestämmelser i personuppgiftslagen som inte inskränker utlämningsskyldigheten skall däremot tillämpas beträffande myndigheters behandling av personuppgifter i allmänna handlingar (t.ex. bestämmelser om rättelse, information till de registrerade, anmälningsskyldighet och säkerhet vid registrering, anmälningsskyldighet och säkerhet vid behandlingen). Utan hinder av personuppgiftslagen får en myndighet arkivera och bevara allmänna handlingar. I 9 och 10 §§ personuppgiftslagen finns de grundläggande kraven på behandling av personuppgifter. Den personuppgiftsansvarige skall enligt 9 § bl.a. se till att personuppgifter behandlas bara om det är lagligt, att det görs korrekt och att insamling sker bara för uttryckligt angivna och berättigade ändamål. Personuppgifter får inte behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in, 9 § d (finalitetsprincipen, som begränsar möjligheterna till s.k. samkörning av register). Detta innebär i praktiken att den personuppgiftsansvarige måste hålla reda på för vilka ändamål varje personuppgift har samlats in. Behandlingen av personuppgifter för de nya ändamålen måste givetvis, liksom behandlingen av de ursprungliga ändamålen, kunna hänföras under något av de tillåtna fall av behandling som anges i 10 §, och, om känsliga personuppgifter skall behandlas, dessutom vara tillåten enligt 1320 §§. Det krävs inte i sig att den registrerade samtycker till behandlingen för de nya ändamålen. Även ett utlämnande till annan av personuppgifterna måste vara förenligt med de ursprungliga ändamålen. Det är därför inte möjligt att kringgå reglerna genom att en personuppgiftsansvarig lämnar ut uppgifterna till en annan, som vid sin insamling bestämmer ändamål som är oförenligt med de ursprungliga. Det finns fler grundläggande krav enligt 9 § på behandlingen av personuppgifter. De personuppgifter som behandlas skall vara adekvata och relevanta i förhållande till ändamålet med behandlingen. Fler personuppgifter får inte behandlas än som är nödvändigt med hänsyn till behandlingen. Uppgifterna skall vara riktiga. Alla rimliga åtgärder skall vidtas för att bl.a. rätta eller utplåna felaktiga uppgifter och uppgifterna skall inte bevaras än vad som är nödvändigt med hänsyn till ändamålet med behandlingen. Finalitetsprincipen (dvs. att personuppgifter inte får behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in) gäller dock inte behandling av personuppgifter för historiska, statistiska eller vetenskapliga ändamål. Behandling av personuppgifter för bl.a. vetenskapliga ändamål skall således inte anses oförenlig med de ändamål för vilka uppgifterna samlades in. Personuppgifter skall inte bevaras än vad som är nödvändigt med hänsyn till ändamålen med behandlingen, men för vetenskapliga ändamål får de bevaras , men inte längre än vad som behövs för dessa ändamål. De krav på dokumentation och reproducerbarhet som allmänt tillämpas vid vetenskaplig forskning torde dock innebära att personuppgifter som använts i ett forskningsprojekt kan behöva bevaras efter det att projektet avslutats. I 10 § personuppgiftslagen finns grundläggande bestämmelser om när behandling av personuppgifter över huvud taget är tillåten. Personuppgifter får behandlas bara om den registrerade har lämnat sitt samtycke till behandlingen eller om behandlingen är nödvändig för vissa i bestämmelsen angivna syften, bl.a. för att en arbetsuppgift av allmänt intresse skall kunna utföras. har som exempel på en sådan arbetsuppgift nämnt forskning (SOU 1997:39). Det är enligt huvudregeln i 13 § personuppgiftslagen förbjudet att behandla känsliga personuppgifter som avslöjar a)ras eller etniskt ursprung, b)politiska åsikter, c)religiös eller filosofisk övertygelse, eller d)medlemskap i fackförening. Det är också förbjudet att behandla sådana personuppgifter som rör hälsa eller sexualliv. I 1520 §§ regleras de undantagssituationer när behandling av känsliga personuppgifter ändå får ske. Har den registrerade lämnat sitt uttryckliga samtycke får behandling ske av känsliga personuppgifter (15 §). Känsliga personuppgifter får enligt 19 § behandlas utan samtycke från den registrerade för bl.a. forskningsändamål, om behandlingen är nödvändig enligt 10 § och om samhällsintresset av det forskningsprojekt där behandlingen ingår klart väger över den risk för otillbörlig intrång i enskildas personliga integritet som behandlingen kan innebära. Har behandlingen godkänts av en forskningsetisk kommitté, skall dessa förutsättningar anses uppfyllda. Någon särskild överklagandemöjlighet av den forskningsetiska kommitténs beslut finns inte. Vid tillämpning av avvägningsnormen måste det ske en helhetsbedömning av samtliga omständigheter. Vid denna bedömning bör beaktas bl.a. forskningsprojektets vikt, behovet av personuppgifter, säkerheten vid behandlingen, hur pass kostsamt eller tidsödande det skulle vara att hämta in samtycke, i vilken utsträckning den enskilde skulle kunna skadas om man begärde samtycke och om en kontakt med den enskilde skulle kunna förrycka undersökningsresultatet. Vid intresseavvägningen bör också beaktas om information i någon form lämnas till de berörda, t.ex. via anslag eller annonser. I de allra flesta fall bör åtminstone sådan information kunna lämnas. Det är i första hand den personuppgiftsansvarige som har att på eget ansvar tillämpa avvägningsnormen. Det har överlåtits åt rättstillämpningen att avgöra vilka behandlingar som kan tillåtas, varvid det har betonats att ger uttryck för en restriktiv tillämpning. Det har inte uppställts något krav i lagen på vad etikkommitténs bedömning av personuppgiftsbehandlingen skall innefatta. Av förarbetena (prop. 1997/98:44) framgår att den personuppgiftsansvarige kan få göra bedömningen enligt avvägningsnormen, men att denne inte behöver göra någon egen sådan avvägning om behandlingen godkänts av etikkommittén. Den avvägning som krävs är så känslig och svår att göra att den som huvudregel inte bör överlåtas åt enskilda forskare. I de fall en granskning av en forskningsetikkommitté inte kommer till stånd krävs förhandsanmälan till Datainspektionen enligt 10 § 1 personuppgiftsförordningen (1998:1191). Med forskning enligt 19 § torde i första hand avses den verksamhet som bedrivs vid etablerade institutioner, såsom universitet och högskolor eller privata, väletablerade forskningsinstitut. Även sådana epidemiologiska undersökningar som utförs vetenskapligt torde omfattas. Släktforskning faller däremot utanför, liksom annan forskning eller utredningsverksamhet av mer privat natur. Det måste finnas ett samhällsintresse av att forskningen bedrivs och den måste vara vetenskaplig i någon mening. I 19 § tredje stycket sägs att personuppgifter får lämnas ut för att användas i forskningsprojekt, om inte något annat följer av regler om sekretess och tystnadsplikt. Visserligen har etikkommittéerna enligt andra stycket behörighet att medge undantag från kravet på samtycke till behandling av personuppgifterna. Tredje stycket innebär dock att kommittéerna inte har någon behörighet att göra undantag från det behov av samtycke som kan finnas enligt sekretesslagen för att man ska få hämta känsliga uppgifter ur patientjournaler och använda dem i forskningen. I 7 kap. 1 § sekretesslagen stadgas att sekretess gäller inom hälso- och sjukvården för uppgift om enskilds hälsotillstånd eller andra personliga förhållanden, om det inte står klart att uppgiften kan röjas utan att den enskilde eller någon honom närstående lider men. Detta är ett s.k. omvänt skaderekvisit, vilket innebär att patienterna ofta måste tillfrågas för att journaluppgifter skall kunna användas för forskning. Av 21 § personuppgiftslagen framgår att det är förbjudet för andra än myndigheter att behandla personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden. Regeringen eller den myndighet regeringen bestämmer får meddela föreskrifter om undantag från förbudet. Beträffande återkallande av samtycke gäller enligt 12 § att i de fall när behandling av personuppgifter bara är tillåten när den registrerade lämnat samtycke enligt bl.a. 10 §, har den registrerade rätt att när som helst återkalla ett lämnat samtycke. Ytterligare personuppgifter om den registrerade får därefter inte behandlas. En registrerad har härutöver inte rätt att motsätta sig sådan behandling av personuppgifter som är tillåten enligt lagen. Rätten att återkalla ett lämnat samtycke är alltså begränsat på så sätt att det inte ger den registrerade rätt att motsätta sig fortsatt behandling av redan insamlade personuppgifter. Denna lösning har ansetts innebära en lämplig avvägning mellan de registrerades och den personuppgiftsansvariges intressen. Å ena sidan respekteras den registrerades rätt att bestämma vilka uppgifter som får samlas in och att insamlandet kan avbrytas, å andra sidan beaktas den personuppgiftsansvariges anspråk på att få behandla färdigt uppgifter som lämnats av den registrerade med frivilligt samtycke. Redan insamlade uppgifter får dock inte uppdateras eller kompletteras, vilket på grund av kvalitetskraven i 9 § kan medföra att uppgifterna måste utplånas eller avidentifieras sedan de blivit inaktuella eller ofullständiga. I allmän verksamhet skall dock bestämmelser om arkivering i arkivlagen (1990:782) och gallringsföreskrifter beaktas. I 2327 §§ finns bestämmelser om information till den registrerade. Säkerheten vid behandlingen berörs i 3032 §§. I 3641 §§ finns bestämmelser om anmälan till tillsynsmyndigheten. I princip skall Prop. 2002/03:50 automatiserade behandlingar anmälas till tillsynsmyndigheten. Datainspektionen får dock med stöd av 6 § personuppgiftsförordningen (1998:1191) meddela föreskrifter om undantag från anmälningsskyldigheten enligt 36 § första stycket personuppgiftslagen för sådana typer av behandlingar som sannolikt inte kommer att leda till otillbörligt intrång i den personliga integriteten. Den personuppgiftsansvarige kan slippa anmälningsskyldigheten genom att tillsätta ett särskilt personuppgiftsombud, vilket skall anmälas till tillsynsmyndigheten. Härefter behöver anmälningar om behandlingar inte längre göras. I 10 § personuppgiftsförordningen (1998:1191) finns en uppräkning av automatiserade behandlingar av personuppgifter som, oavsett om de omfattas av anmälningsskyldighet enligt 36 § personuppgiftslagen eller ej, skall anmälas för förhandskontroll till Datainspektionen senast i förväg. Den ena situationen är behandling av känsliga personuppgifter för forskningsändamål utan samtycke från den registrerade och som inte godkänts av en forskningsetisk kommitté enligt 19 § andra stycket personuppgiftslagen. Den andra situationen är behandling av personuppgifter om genetiska anlag som framkommit efter genetisk undersökning oavsett om en forskningsetisk kommitté har godkänt behandlingen eller inte och oavsett om den registrerade har lämnat sitt samtycke till personuppgiftsbehandlingen eller inte. Lagen (1998:543) om hälsodataregister Central förvaltningsmyndighet inom hälso- och sjukvården får utföra automatiserad behandling av personuppgifter i hälsodataregister (1 §). Personuppgifter i ett hälsodataregister får behandlas för bl.a. forskning och epidemiologiska undersökningar (3 § 3). I lagens förarbeten (prop. 1997/97:108) sägs bl.a. följande. Det ändamål för vilket behandling av uppgifter i ett personregister får ske skall inrymmas i en myndighets verksamhetsområde. skall enligt sin instruktion särskilt svara för forskning inom sitt ansvarsområde av betydelse för den kontroll och tillsyn som skall bedrivas. skall bedriva forskning inom smittskyddsområdet samt analysera det epidemiologiska läget beträffande smittsamma sjukdomar och analysera skyddet efter genomförda vaccinationsprogram. har enligt instruktionen att följa forsknings- och utvecklingsarbete av särskild betydelse inom sitt ansvarsområde och att verka för att sådant arbete kommer till stånd. Därutöver skall följa, analysera och rapportera om hälsoutvecklingen i landet samt belysa epidemiologiska konsekvenser av olika åtgärder. Epidemiologi är vetenskapen om hälsoförhållanden i befolkningen och de faktorer som påverkar eller bidrar till olika typer av ohälsa. Vad gäller forskning bedömdes det viktigt att begränsa utlämnande av uppgifter till forskningsprojekt av viss kvalitet. Vid prövningen innebär enligt 19 § i förslaget till personuppgiftslag ett godkännande av behandlingen från en forskningsetisk kommitté att förutsättningar föreligger för att lämna ut uppgifterna. Någon rätt för den enskilde att slippa bli införd i ett hälso- eller vårdregister bör inte införas. Inte heller Prop. 2002/03:50 bör någon rätt att bli struken ur ett sådant register medges. Bestämmelser om sådana register finns i lagen (1996:1156) om receptregister, förordningen (2001:707) om patientregister hos , förordningen (2001:708) om medicinskt födelseregister hos , förordningen (2001:709) om cancerregister hos och förordningen (2001:710) om biverkningsregister angående läkemedel hos . 6.5Klinisk prövning av läkemedel Läkemedelslagen (1992:859) Läkemedelslagen innehåller de grundläggande bestämmelserna om läkemedel. Ett läkemedel skall vara av god kvalitet och ändamålsenligt. Ett läkemedel är ändamålsenligt om det är verksamt för sitt ändamål och vid normal användning inte har skadeverkningar som står i missförhållande till den avsedda effekten (4 §). Ett läkemedel får säljas först sedan det godkänts för försäljning (5 § första stycket). Ett läkemedel skall godkännas om det uppfyller kraven enligt 4 §. Ett godkännande gäller (6 §). prövar frågor om godkännande enligt 5 § första stycket (7 §). skall fortlöpande kontrollera ett läkemedel som har godkänts och pröva om godkännandet fortfarande bör gälla. Verket får förelägga den som fått godkännandet att visa att läkemedlet fortfarande uppfyller kraven för godkännandet (10 §). får ålägga den som fått ett läkemedel godkänt att återkalla läkemedlet från dem som innehar det 1.om det behövs för att förebygga skada, 2.om läkemedlet inte är verksamt för sitt ändamål, 3.om det inte är av god kvalitet, eller 4.om väsentliga krav i samband med tillverkning eller import inte uppfylls (11 §). får besluta att ett godkännande skall upphöra att gälla 1.om den som fått ett föreläggande enligt 10 § inte kan visa att läkemedlet fortfarande uppfyller kraven för godkännandet, 2.om de villkor som angavs vid godkännandet inte följts, 3.om ett åläggande att återkalla läkemedlet inte följts, eller 4.om de grundläggande förutsättningarna för godkännandet i andra fall inte längre föreligger (12 §). Beträffande kliniska prövningar av läkemedel finns särskilda bestämmelser i 13 och 14 §§. En klinisk undersökning på människor av ett läkemedels egenskaper (klinisk läkemedelsprövning) får utföras för att utreda i vad mån läkemedlet är ändamålsenligt. Prövningen, som skall vara etiskt försvarlig, får utföras i samband med sjukdomsbehandling eller utan sådant samband. En prövning på människor får utföras endast av en legitimerad läkare eller legitimerad tandläkare. Den som utför prövningen skall ha tillräcklig kompetens på det område som prövningen De patienter eller försökspersoner som avses delta i en klinisk