sou · GYB381 · 2010-11-29 00:00:00 — För ett visst forskningsprojekt kanske det inte är möjligt att använda prover som har förvarats i rumstemperatur, utan enbart prover som har frysförvarats vid –20 eller –. För att sådana prover ska kunna efterforskas måste det vara tillåtet för biobankerna att behandla dessa uppgifter. Många av dessa personuppgifter innebär en tydlig koppling till vävnadsproverna och de uppgifter om provgivarnas – och ibland närståendes – hälsa som kan utläsas eller har utlästs av dessa. Den föreslagna bestämmelsen är att se som ett undantag från förbudet att behandla personuppgifter om hälsa enligt 13 § personuppgifts- lagen, eftersom ett sådant undantag behövs med hänsyn till intresset av spårbarhet för vävnadsprover som hör till biobanker. Det bör framhållas att uppgifter om analysresultat, diagnoser eller liknande inte ska få behandlas i biobankernas verksamhet. kan dock t.ex. uppgifter om vilken sorts biologiskt material som ingår i proverna vara av särskilt känsligt slag. Normalt bör de direkt identifierande uppgifterna om provgivarna eller andra sådana personer skyddas av en kod, så att den inte är tillgänglig för var och en som har tillgång till registret. Bestämmelserna om kodning bör kunna ges i myndighets- föreskrifter. Biobankslagen bör innehålla ett bemyndigande att meddela sådana föreskrifter. Vidare bör biobanksregistren kunna innehålla uppgifter om vem som behandlar uppgifter eller vävnadsprover, för att vävnads- proverna ska kunna hanteras på ett säkert sätt och inte förkomma. Det kan vara fråga om den som har tagit ett prov, den som har beställt en analys av ett prov, den som utför analysen av provet, den som hanterar provet i samband med preparering eller för förvaring eller den som är ansvarig för biobanken och i denna egenskap kommer i kontakt med information om proverna. Biobankernas behandling av personuppgifter uppgifter bör kunna anges i biobanksregister, eftersom de har betydelse för spårbarheten. Av det föregående framgår att det i registren måste anges till vem vävnadsprover har utlämnats, överlåtits eller upplåtits, för att spårbarhetskravet ska kunna vara uppfyllt. Normalt är mottagaren ett landsting, en forskningsinstitution, ett aktiebolag eller någon annan juridisk person. är mottagaren i stället en fysisk person, som t.ex. en enskild forskare. Det är då fråga om en personuppgift om denne, men inte om en känslig personuppgift enligt 13 § personuppgiftslagen. Uppgifter om mottagarens identitet måste kunna registreras. Det torde normalt inte bli aktuellt att registrera uppgifter om lagöverträdelser m.m. som omfattas av förbudet i 21 § person- uppgiftslagen. 21 § personuppgiftslagen ska därför gälla även för biobankerna. Däremot kan det bli fråga om att behandla personnummer eller motsvarande i biobanksregistren, vilket behandlas i 22 § person- uppgiftslagen. Enligt den bestämmelsen får uppgifter om personnummer eller samordningsnummer behandlas utan samtycke bara när det är klart motiverat med hänsyn till ändamålet med behandlingen, vikten av en säker identifiering eller något annat beaktansvärt skäl. Det står klart att det är mycket betydelsefullt med en säker identifiering när vävnadsprover hanteras och att det därför är motiverat att behandla person- nummer i biobankernas verksamhet, även om personnumren bör kunna kodas i biobanksregistren, så att de ersätts med icke direkt identifierande uppgifter. Förutom de nämnda typerna av uppgifter bör inga person- uppgifter få behandlas, eftersom det endast är dessa grupper av uppgifter som behövs för ändamålet med personuppgifts- behandlingen. Det bör noteras att de grundläggande kraven på behandlingen av personuppgifter enligt 9 § personuppgiftslagen gäller även när personuppgifter behandlas vid biobankerna. Det innebär att personuppgifterna ska vara adekvata och relevanta i förhållande till ändamålen med behandlingen och att inte fler personuppgifter behandlas än vad som är nödvändigt med hänsyn till ändamålen med behandlingen. Vidare ska personuppgifter som behandlas vara riktiga och, om det är nödvändigt, aktuella. Prövning av om en personuppgift behövs för en viss behandling eller inte måste även Biobankernas behandling av personuppgifter göras kontinuerligt och inte endast när den samlas in och registreras. Det förtjänar att upprepas att den nu föreslagna bestämmelsen endast avser biobankernas verksamhet, för spårning av vävnads- prover, och inte innebär någon inskränkning eller utvidgning av de lagliga möjligheterna att behandla personuppgifter i den vård och behandling eller forskning som bedrivs i anslutning till biobanken och som vävnadsproverna används för. Utredningens förslag i denna del innebär att de personuppgifter som får behandlas är betydligt mer precist angivna än vad som gäller för hälso- och sjukvården i allmänhet enligt 2 kap. 7 § patientdatalagen. Utredningens bedömning: De personuppgifter som får behandlas i biobankens verksamhet ska också få användas som sökbegrepp i biobanksregistret. Frågan om på vilket sätt som personuppgifterna i ett register kan sammanställas anses ofta som en av de viktigaste frågorna från integritetssynpunkt. Ju större möjligheter det finns att på olika sätt sammanställa uppgifterna om enskilda i registret desto större blir riskerna för otillbörligt intrång i enskildas integritet. För att förhindra att integritetskänsliga sammanställningar om enskilda kan åstadkommas behövs därför ibland att dessa möjligheter begränsas. Vilka sök- och sammanställningsmöjligheter som finns har vidare betydelse för frågan om vilka handlingar som anses förvarade hos en myndighet och vad som därmed kan bli tillgängligt för allmänheten i enlighet med 2 kap. tryckfrihets- förordningen. Biobanker i offentlig verksamhet omfattas av tryckfrihetsförordningens regler. Varje sammanställning av elektroniskt lagrade uppgifter som myndigheten kan göra med hjälp av tillgängliga program är i princip att anse som en allmän handling hos myndigheten. Detta gäller även om det har existerat en sådan sammanställning och även om sammanställningen inte alls behövs för myndighetens egen verksamhet. Förutom redan existerande handlingar brukar man därför tala om s.k. potentiella handlingar. Biobankernas behandling av personuppgifter Tekniska begränsningar kan dock innebära att en tänkt sammanställning inte kan göras. Det kan då inte bli fråga om någon allmän handling. Vidare kan en myndighets och därmed också allmänhetens möjligheter att få tillgång till sammanställningar av uppgifter som finns i myndighetens informationssystem under- kastas rättsliga begränsningar. Denna regel, begränsningsregeln, syftar till att allmänheten inte med stöd av offentlighetsprincipen ska kunna göra anspråk på att få del av sådana sammanställningar hos myndigheten som myndigheten av hänsyn till skyddet för den personliga integriteten själv är förhindrad att ta fram (2 kap. 3 § tryckfrihetsförordningen). Med sökbegrepp avses bokstäver, koder eller siffror med vars hjälp man, tillsammans med en sökmotor eller liknande funktion, kan ta fram ett önskat urval lagrade personuppgifter om en eller flera personer ur en samlad informationsmängd. Frågan om sökbegrepp är i princip intressant endast när det gäller information som behandlas elektroniskt. Så torde dock normalt vara fallet när det gäller ett biobanksregister. Det är därför viktigt att frågan om sökbegränsningar analyseras så att otillbörliga integritetsintrång förebyggs. I patientdatalagen finns vissa sökbegränsningar avseende den personuppgiftsbehandling som sker i hälso- och sjukvården. Enligt 2 kap. 8 § patientdatalagen får känsliga personuppgifter som avses i 13 § personuppgiftslagen eller uppgifter om lagöverträdelser m.m. som avses i 21 § samma lag inte användas som sökbegrepp. Enligt regeln får inte heller uppgifter om att någon fått bistånd eller varit föremål för andra insatser inom eller enligt utlänningslagen (2005:716) användas som sökbegrepp. Från detta förbud gäller enligt andra stycket i bestämmelsen det undantaget att det ändå är tillåtet att som sökbegrepp använda uppgifter om hälsa och uppgifter om att någon varit föremål för tvångs- ingripande enligt lagen (1991:1128) om psykiatrisk tvångsvård eller lagen (1991:1129) om rättspsykiatrisk vård. Vidare får enligt tredje stycket i bestämmelsen regeringen meddela vissa ytterligare undantag. Det är normalt inte aktuellt att i biobankernas verksamhet behandla sådana uppgifter som utgör otillåtna sökbegrepp enligt patientdatalagen. De kommer i de allra flesta fall inte att registreras några andra känsliga personuppgifter hos biobankerna än uppgifter om hälsa. Biobankernas behandling av personuppgifter Utredningens bedömning är därför att det inte bör göras någon inskränkning när det gäller vilka sökbegrepp som får användas utöver vad som följer av bestämmelsen om vilka personuppgifter som får behandlas i biobankens verksamhet. Utredningens förslag: Huvudmannen för biobanken ska vara personuppgiftsansvarig för behandlingen av personuppgifter i biobankens verksamhet. Den vårdgivare som för ska vara personuppgiftsansvarig för behandlingen av personuppgifter i . Ett centralt begrepp när det gäller personuppgifter är person- uppgiftsansvaret. Enligt 3 § personuppgiftslagen är det den som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen av personuppgifter som är person- uppgiftsansvarig. Vem som är personuppgiftsansvarig kan också särskilt anges i en lag eller förordning. Den personuppgiftsansvarige kan överlåta den faktiska behandlingen av personuppgifter, men personuppgiftsansvaret kan aldrig överlåtas. Det är alltid den personuppgiftsansvarige som ytterst svarar för att personuppgiftsregleringen följs och att de registrerade behandlas korrekt. I ansvaret ingår enligt 31 § person- uppgiftslagen också att vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas (se utredningens förslag om detta i avsnitt 13.3.7). Biobanken som sådan kan inte ha personuppgiftsansvaret. I den praxis som utbildats avseende personuppgifter är det en juridisk person som är personuppgiftsansvarig. Inom hälso- och sjukvården är enligt 2 kap. 6 § patientdatalagen den statliga myndighet, det landsting eller den kommun som har ansvar för hälso- och sjukvården eller den juridiska person eller enskilda näringsidkare som bedriver hälso- och sjukvården (vårdgivare) personuppgiftsansvarig för den behandling av person- uppgifter som vårdgivaren utför. I landsting och kommun är, enligt bestämmelsen, varje myndighet som bedriver hälso- och sjukvård Biobankernas behandling av personuppgifter personuppgiftsansvarig för den behandling av personuppgifter som myndigheten utför. I forskningssammanhang kan ett universitet, ett forsknings- institut eller ett läkemedelsbolag vara personuppgiftsansvarigt. Det framstår som naturligt att personuppgiftsansvaret ligger på huvudmannen för biobanken. Så är inte alltid fallet . För att skapa större enhetlighet och för att det ska vara tydligt vem som bär ansvaret bör det anges i biobankslagen att huvudmannen för biobanken är personuppgiftsansvarig för behandlingen av personuppgifter i biobankens verksamhet. När det gäller ska den vårdgivare som regeringen har utsett att föra registret vara personuppgiftsansvarig för den behandling av personuppgifter som sker i registret. Den personuppgiftsbehandling som vårdgivarna utför när de samlar in och lämnar ut uppgifter till registret faller inom vårdgivarens ansvar enligt patientdatalagen. Överföringen av uppgifter från dessa vårdgivare till ingår dock i person- uppgiftsansvaret för . Motsvarande gäller för utlämnande av personuppgifter från registret. Den nu föreslagna regleringen är avsedd att överensstämma med vad som gäller enligt den nyssnämnda regeln i 2 kap. 6 § patientdatalagen, även om den regeln är mer detaljerad och speciellt avpassad för de särskilda villkor som gäller inom hälso- och sjukvården. Vid en eventuell tveksamhet om tolkningen för hälso- och sjukvårdens del av den nu föreslagna bestämmelsen torde patientdatalagens reglering kunna ge vägledning. Om ett annat biobanksregister än är gemensamt för flera biobanker bör det klarläggas hur personuppgiftsansvaret ska fördela sig för den behandling av personuppgifter som sker. Det är av vikt för den enskilde att personuppgiftsansvaret tydliggörs i detta hänseende så att han eller hon snabbt kan få klart för sig till vem han eller hon ska vända sig. Det är viktigt att informationen om personuppgiftsansvaret blir så tydlig och tillgänglig att det kan stå klart för den berörde enskilde vart han eller hon ska vända sig. Biobankernas behandling av personuppgifter 13.3.6Den enskildes inställning till behandlingen av personuppgifter Utredningens förslag: Personuppgifter ska inte få behandlas om den enskilde motsätter sig det i de fall då bevarandet av det tillhörande vävnadsprovet är beroende av den enskildes inställning. Om den enskilde i ett sådant fall motsätter sig person- uppgiftsbehandlingen sedan den påbörjats, ska uppgifterna utplånas . Den enskilde ska ha rätt att motsätta sig att uppgifter om ett vävnadsprov som han eller hon har lämnat registreras i , om bevarandet av det tillhörande vävnads- provet är beroende av den enskildes inställning. Annan behandling av personuppgifter som är tillåten enligt biobankslagen ska få utföras även om den enskilde motsätter sig den. Enligt 12 § första stycket personuppgiftslagen har den enskilde en rätt att när som helst återkalla ett lämnat samtycke i de fall då behandling av personuppgifter bara är tillåten när den registrerade har lämnat sitt samtycke enligt personuppgiftslagen. Detta leder enligt bestämmelsen till att ytterligare personuppgifter om den registrerade därefter inte får behandlas. Enligt 12 § andra stycket personuppgiftslagen har en registrerad inte rätt att i andra fall motsätta sig sådan behandling av personuppgifter som är tillåten enligt lagen. Bestämmelsens ordalydelse träffar endast sådan behandling av personuppgifter som grundar sig på reglerna i personuppgiftslagen. I registerförfattningar anges ofta en särskild regel om den enskildes inställning till den behandling av personuppgifter som sker enligt författningen. Så bör ske även för biobankslagens del. Enligt många registerförfattningar gäller att den enskilde inte har någon möjlighet att motsätta sig den behandling av person- uppgifter som sker med stöd av författningen. Detta får anses vara en utgångspunkt när fråga är om behandling av personuppgifter inom ramen för myndighetsutövning, men inte i de nu aktuella fallen. I patientdatalagen finns en annorlunda reglering. Även där är huvudregeln att den enskilde inte kan motsätta sig behandlingen av Biobankernas behandling av personuppgifter personuppgifter (2 kap. 2 §). Det finns dock några undantag från denna huvudregel. Den enskilde kan motsätta sig viss person- uppgiftsbehandling som har att göra med elektronisk åtkomst till uppgifter inom en vårdgivares verksamhet, sammanhållen journal- föring samt nationella och regionala kvalitetsregister. I det sist- nämnda avseendet gäller enligt 7 kap. 2 § patientdatalagen att personuppgifter inte får behandlas i ett nationellt eller regionalt kvalitetsregister, om den enskilde motsätter sig det. Om den enskilde motsätter sig en sådan personuppgiftsbehandling sedan den påbörjats, ska uppgifterna enligt bestämmelsen utplånas ur registret . När det gäller dessa kvalitetsregister har alltså den enskilde fått en rätt att motsätta sig behandlingen av personuppgifter. Denna rätt att invända mot behandlingen går dessutom längre än vad som gäller enligt personuppgiftslagen, eftersom den avser även tidigare insamlade uppgifter och inte enbart uppgifter som kan komma att samlas in . I förarbetena till bestämmelsen angående de nämnda kvalitetsregistren anges att förslaget främst motiveras av att den registrerades rätt i annat fall riskerar att inte sällan bli rent illusorisk. Personuppgiftsbehandlingen kan enligt förarbets- uttalandet komma att påbörjas även innan den registrerade informerats om registret, t.ex. på grund av att den registrerades hälsotillstånd har hindrat att information lämnas (prop. 2007/08:126 s. 189). För biobankernas del gäller som huvudregel en självbestäm- manderätt för den enskilde när det gäller bevarande av vävnads- provet. Det viktigaste skälet bakom kravet på spårbarhet är just att denna rätt ska kunna utnyttjas. Det framstår då inte som följdriktigt att biobanken ska ha en allmän möjlighet att bevara personuppgifter mot den enskildes vilja. Det finns normalt inte heller något behov för biobankerna att behandla nya person- uppgifter om provgivaren efter det att samtycket till bevarande av vävnadsprover har återkallats, eftersom vävnadsprovet då ska förstöras eller i vissa fall avidentifieras. Den enskilde bör därför kunna tillerkännas åtminstone de rättigheter som gäller enligt 12 § personuppgiftslagen. Sedan är frågan om inte biobankslagen borde ge den enskilde samma möjlighet som finns avseende sjukvårdens nationella och regionala kvalitetsregister att invända mot behandlingen även av redan insamlade personuppgifter. Biobankernas behandling av personuppgifter Åena sidan skulle det kunna finnas vissa fördelar för biobankernas huvudmän med att ha möjlighet bevara tidigare personuppgifter mot den enskildes vilja. Biobankens företrädare kan bl.a. ha ett intresse av att säkra bevisning om att en begäran om att förstöra provet har efterkommits. Det kan vara värdefullt att kunna analysera bortfall i samband med ett forskningsprojekt avseende biobanken, även om bortfallen på grund av återkallade samtycken erfarenhetsmässigt är små vid biobanksforskning. Åandra sidan skulle en rätt för den enskilde att invända mot behandlingen även av redan insamlade personuppgifter leda till en överensstämmelse mellan vad som gäller för själva vävnadsproverna och vad som gäller för personuppgifterna. Den som har återkallat sitt samtycke och bett att få sitt vävnadsprov förstört önskar kanske att det inte ska anges i biobanksregistret att hans eller hennes vävnadsprov har bevarats vid biobanken. Dessutom gäller på samma sätt som för de nationella och regionala kvalitetsregistren att den registrerades rätt i annat fall riskerar att inte sällan bli rent illusorisk. Uppgifterna kan redan ha samlats in innan den enskilde får någon praktisk möjlighet att invända mot behandlingen. Under alla omständigheter får den enskilde inte någon reell möjlighet att senare ändra sitt ställningstagande när det gäller uppgifter som samlas in vid endast ett tillfälle. I de undantagsfall då vävnadsproverna ska kunna bevaras trots att provgivaren inte godtar detta måste också de personuppgifter som identifierar proverna kunna bevaras. Rätten att återkalla ett samtycke enligt 12 § personuppgiftslagen är på ett liknande sätt inskränkt till de fall då personuppgifterna bevaras med stöd i samtycke. Biobankernas möjlighet att i undantagsfall bevara vävnadsprover utan möjlighet för den enskilde att invända mot detta måste för att ha någon mening medföra en möjlighet att behandla de tillhörande personuppgifterna även om den enskilde motsätter sig detta. Det handlar t.ex. om prover som bevaras mot vårdnadshavares vilja enligt utredningens förslag (se avsnitt 10.5.1) och prover som bevaras för smittskyddsändamål (se avsnitt 11.3.2). Utredningen anser alltså sammanfattningsvis att en biobank som huvudregel inte ska få behandla personuppgifter om den enskilde motsätter sig det. Detta ska gälla i alla de fall då bevarandet av det tillhörande vävnadsprovet är beroende av den enskildes inställning enligt biobankslagen. Om den enskilde motsätter sig en sådan personuppgiftsbehandling efter det att den har påbörjats, ska uppgifterna utplånas , dvs. Biobankernas behandling av personuppgifter att uppgifterna helt ska tas bort så att de inte kan återskapas. I de fall då biobanken har rätt att bevara vävnadsprovet oavsett den enskildes inställning, ska biobanken också ha rätt att behandla motsvarande personuppgifter, även om den enskilde motsätter sig denna behandling. Slutligen anser utredningen att det finns skäl att ta ytterligare ett steg och ge den enskilde inflytande över hur stor spridning uppgifterna ska få. I 6 kap. 2 § patientdatalagen anges en möjlighet för patienter att under vissa förutsättningar motsätta sig samman- hållen journalföring, vilket innebär att uppgifterna i journalen inte görs tillgängliga för andra vårdgivare genom direktåtkomst. Som utredningen anger i avsnitt 12.4.2 bör en motsvarande möjlighet införas i förhållande till . Enligt utredningens mening bör således en landsomfattande registrering av vävnadsprover vara frivillig för provgivarna. Den som har lämnat ett vävnadsprov hos en vårdgivare kan vilja att uppgifterna om provet stannar inom vårdgivarens verksamhet. Utredningen anser alltså att provgivare ska ha rätt att motsätta sig att ett vävnadsprov registreras i det centrala registret. Information om måste finnas tillgänglig i samma omfattning som informationen om själva insamlingen av vävnadsproverna (se avsnitt 9.6.2), så att de registrerade kan utnyttja sin rätt till självbestämmande. Om en provgivare som har utnyttjat denna rättighet senare skulle vilja ändra sitt ställningstagande angående provet eller personuppgifterna måste provgivaren dock vända sig till den vårdgivare där provet har tagits, eftersom uppgifterna då inte finns centralt registrerade. Även denna rättighet ska gälla under förutsättning att bevarandet av det tillhörande vävnadsprovet är beroende av den enskildes inställning enligt biobankslagen. I de undantagsfall då vävnadsprovet ska kunna bevaras trots att provgivaren inte godtar detta ska också de personuppgifter som identifierar proverna kunna anges i . Det kan även i detta sammanhang framhållas att den behandling av personuppgifter som sker i den vård och behandling eller forskning som bedrivs i anslutning till biobanken styrs av andra regler än de som finns i biobankslagen. I annan lagstiftning finns, som nämnts, vissa bestämmelser som medger att personuppgifter bevaras oavsett den enskildes inställning. Det gäller inte bara patientdatalagen, utan även t.ex. blodsäkerhetslagen och Biobankernas behandling av personuppgifter Vidare får personuppgifter behandlas för forsknings- projekt med stöd av godkännande från etikprövningsnämnd enligt 19 § personuppgiftslagen. Dessa regler påverkas inte av den nu föreslagna bestämmelsen. 13.3.7Tilldelning av behörigheter och kontroll av åtkomst Utredningens förslag: Den personuppgiftsansvarige ska vara skyldig att bestämma villkor för tilldelning av behörighet för åtkomst till sådana uppgifter om provgivare som förs helt eller delvis automatiserat. Sådan behörighet ska begränsas till vad som behövs för att den enskilde ska kunna fullgöra sina arbetsuppgifter. Den personuppgiftsansvarige ska vidare vara skyldig att se till att åtkomst till sådana uppgifter om provgivare som förs helt eller delvis automatiserat dokumenteras och kan kontrolleras. Den personuppgiftsansvarige ska vara skyldig att göra systematiska och återkommande kontroller av om någon obehörigen kommer åt sådana uppgifter. Provgivarna ska ges rätt att på begäran få information om vilken direktåtkomst och elektronisk åtkomst som förekommit till elektroniskt behandlade uppgifter om dem. Regeringen eller den myndighet som regeringen bestämmer ska bemyndigas att meddela ytterligare föreskrifter i dessa frågor. I 31 § personuppgiftslagen finns en grundläggande bestämmelse om säkerhet för personuppgifter. Den är allmänt hållen och inte anpassad särskilt för de förhållanden som gäller i biobankernas verksamhet. Detta kan leda till svårigheter att förstå vilka skyldigheter den personuppgiftsansvarige har enligt bestämmelsen. I 4 kap. 2–3 §§ och i 8 kap. 5 § patientdatalagen finns däremot säkerhetsregler som är mer specifika till sin karaktär.