bet · H101UbU4 · 2013-10-16 00:00:00 — Uppgifter som framkommit genom Datainspektionens tillsynsverksamhet visar på stora behov av ökad kunskap hos anställda om vad som är tillåten och otillåten hantering av patientdata. Motionären ser en risk i att begränsningsskyldigheten enligt 10 § i den föreslagna lagen inte kommer att tillämpas så restriktivt som avses. Motionären anser att Datainspektionen ska få i uppdrag att, tillsammans med de lärosäten som ges regeringens tillstånd att hantera de aktuella registren, utforma riktlinjer för hur åtkomsten ska begränsas till endast de personer som behöver ha tillgång till uppgifterna för att hantera registret. Ett tillkännagivande föreslås i enlighet härmed. Utskottet vill inledningsvis framhålla att det bara är de anställda och uppdragstagare hos den som är personuppgiftsansvarig enligt den föreslagna lagen, dvs. de universitet eller högskolor som utför behandling av personuppgifter enligt lagens syfte, som ska få ha elektronisk åtkomst till personuppgifter från registret. Den typ av arbetsuppgifter som avses innebär bl.a. införande av uppgifter i registret eller utlämnande av uppgifter från registret. Sådan åtkomst ska vidare enligt förslaget begränsas till vad var och en behöver för att kunna fullgöra sina arbetsuppgifter i fråga om registret. I propositionen anges att syftet med begränsningen är att förstärka skyddet för den personliga integriteten genom att se till att uppgifterna är tillgängliga för en så liten krets som möjligt. Utskottet kan konstatera att det för alla som hanterar och bearbetar personuppgifter är viktigt att säkerställa att personuppgifterna skyddas på ett bra sätt. Den som är personuppgiftsansvarig, normalt den juridiska person eller den myndighet som behandlar personuppgifter i sin verksamhet, ska enligt 31 § personuppgiftslagen (1998:204) vidta lämpliga tekniska och organisatoriska säkerhetsåtgärder för att skydda de personuppgifter som behandlas. Åtgärderna ska åstadkomma en säkerhetsnivå som är lämplig med beaktande av bl.a. de särskilda riskerna med behandling av personuppgifterna, och hur känsliga de behandlade personuppgifterna är. Datainspektionen har preciserat kraven på säkerhet enligt den aktuella bestämmelsen i myndighetens allmänna råd – Säkerhet för personuppgifter (reviderade ). Enligt de allmänna råden bör en personuppgiftsansvarig ha en fastställd säkerhetspolicy, i vart fall om en omfattande behandling av personuppgifter utförs eller om känsliga personuppgifter behandlas. Finns det anställda i verksamheten bör policyn vara skriftlig och allmänt tillgänglig inom organisationen. Det bör även genomföras kontroller för att säkerställa att riktlinjer och regler följs. Den personuppgiftsansvarige bör även enligt råden utforma arbetsrutiner och arbetsuppgifter på ett sådant sätt att det blir möjligt för personalen att arbeta och tänka säkerhetsmedvetet samt se till att alla som har tillgång till personuppgifter får relevant utbildning. Utskottet vill även lyfta fram att Datainspektionen med stöd av 32 § personuppgiftslagen i enskilda fall får besluta om vilka säkerhetsåtgärder som den personuppgiftsansvarige ska vidta enligt 31 § samma lag. Genom ett sådant beslut kan den personuppgiftsansvarige få preciserat vilka åtgärder som måste vidtas för att uppfylla säkerhetskraven. Följs inte beslutet om säkerhetsåtgärder kan Datainspektionen föreskriva vite, se 45 § 2 stycket personuppgiftslagen. Med det anförda avstyrker utskottet motion 2012/13:Ub22 (MP) yrkande 1. Utskottets förslag till riksdagsbeslut och ställningstaganden har föranlett följande reservationer. I rubriken anges vilken punkt i utskottets förslag till riksdagsbeslut som behandlas i avsnittet. Lagförslagen, punkt 1 (V) av (V). Jag anser att förslaget till riksdagsbeslut under punkt 1 borde ha följande lydelse: avslår regeringens förslag. 2012/13:Ub21 av m.fl. (V) och avslår proposition 2012/13:163 punkterna 1 och 2. Jag är kritisk till regeringens lagförslag och anser att propositionen bör avslås i sin helhet. I det följande motiverar jag mitt förslag till riksdagsbeslut. Vad gäller förslaget om en ny lag om vissa register för forskning om vad arv och miljö betyder för människors hälsa delar jag den kritik som framförts av ett antal remissinstanser. För det första anser jag att svåra etiska frågor om stora befolkningsbaserade register inte kan detaljregleras i lag eller förordning. De frågor som den föreslagna lagen avser att reglera kräver en grundligare utredning. I likhet med Datainspektionen och anser jag att denna aspekt bör utredas ytterligare av den pågående . För det andra menar jag att de föreslagna ändamålen för behandling av personuppgifter inte är förenliga med dataskyddsdirektivet. Det saknas en analys av den föreslagna regleringens förenlighet med dataskyddsdirektivet och jag anser, i likhet med Datainspektionen, att frågan därför måste utredas närmare. För det tredje ifrågasätter jag lämpligheten i förslaget att ge universitet och högskolor möjlighet att föra egna register för befolkningsbaserad forskning. Regeringens förslag innebär att man överger den grundläggande princip som har gällt för hur samhället tillåtit insamling av känsliga personuppgifter för att tillgodose behovet av underlag för bl.a. statistik och forskning. Jag menar att det finns en risk för att integritetsskyddsfrågorna inte kommer att tas på tillräckligt allvar när den ansvarige för personuppgiftsbehandlingen i registret (dvs. högskolan eller ) även är den som har direkt nytta av personuppgiftsbehandlingen i form av forskningsresultat, anslagsmedel osv. Sammanfattningsvis anser jag att regeringens förslag riskerar att påverka enskildas integritet negativt och att det krävs en mer grundläggande utredning. bör besluta att avslå propositionen. Information till registrerad , punkt 2 (MP) av (MP). Jag anser att förslaget till riksdagsbeslut under punkt 2 borde ha följande lydelse: tillkännager för regeringen som sin mening vad som anförs i reservationen. 2012/13:Ub22 av m.fl. (MP) yrkande 3. Jag delar inte regeringens bedömning i frågan om information till den registrerade när han eller hon fyllt . De uppgifter som genom vårdnadshavarnas försorg införts i registret kan vara både omfattande och mycket personligt känsliga för de barn som avsetts. Det kan t.o.m. förekomma att uppgifterna är felaktiga, att de lämnas för att skada barnet eller en annan vårdnadshavare eller att det är sådana uppgifter som barnet, när det fyllt , inte vill ska finnas i registret. Med den uppbyggnad den föreslagna lagstiftningen har kommer barnet aldrig att få reda på vilka uppgifter som registrerats om honom eller henne, än mindre att en registrering har skett. Rättigheten för personerna att med stöd av personuppgiftslagen få till rättelser eller annars använda sig av sina rättigheter till bl.a. skadestånd blir då illusoriska. Jag anser därför att den som fyllt och fått uppgifter om sig registrerade på grund av samtycke av vårdnadshavare ska underrättas om förekomsten i registret från 18-årsdagen. Underrättelsen ska ske av den personuppgiftsansvarige. Regeringen bör vidta lämpliga åtgärder enligt vad som anförts ovan. Underrättelser till enskilda, punkt 3 (MP) av (MP). Jag anser att förslaget till riksdagsbeslut under punkt 3 borde ha följande lydelse: tillkännager för regeringen som sin mening vad som anförs i reservationen. 2012/13:Ub22 av m.fl. (MP) yrkande 2. I 24 kap. 2 a § offentlighets- och sekretesslagen föreslås absolut sekretess i verksamhet som avser förande av eller uttag ur register enligt lagen om vissa register för forskning om vad arv och miljö betyder för människors hälsa. Sekretessen gäller uppgifter som avser en enskilds personliga förhållanden och som kan hänföras till den enskilde. Enligt andra stycket i samma föreslagna lagrum ges möjligheter att trots detta lämna ut sekretessbelagda uppgifter i vissa fall. Det handlar bl.a. om att uppgifter kan lämnas ut från registret till de särskilda register som upprättas för särskilda forskningsprojekt och som då prövas enligt särskild etiklagstiftning. Ett utlämnande kan också ske på grund av offentlighetsprincipen eller på grund av tvång enligt annan särskild lagstiftning. De uppgifter om enskilda som registreras kan vara av ytterst känslig natur för den enskilde. Det är också därför absolut sekretess råder. Det kan ändå antas att ett utlämnande kan komma att ske av de skäl som angetts ovan. Det kan – tyvärr – också antas att utlämnande sker på felaktigt sätt eller på felaktiga grunder. Oavsett skälen till utlämnande anser jag att det lärosäte som ansvarar för hanteringen av registret och som är personuppgiftsansvarigt, ska vara skyldigt att underrätta den enskilde när ett utlämnande av namn eller personnummer skett. Detta ska inte behöva ske om utlämnandet skett inom ett lärosäte för dess etikprövade forskningsverksamhet, men i alla övriga fall. Skälen för detta är att enskilda typiskt sett inte kan förmodas anta att uppgifter om deras person ska lämnas ut eller hanteras av andra än de lärosäten som hanterar registret. Regeringen bör vidta lämpliga åtgärder enligt vad som anförts ovan. Sekretessgräns inom en myndighet, punkt 4 (MP) av (MP). Jag anser att förslaget till riksdagsbeslut under punkt 4 borde ha följande lydelse: tillkännager för regeringen som sin mening vad som anförs i reservationen. 2012/13:Ub22 av m.fl. (MP) yrkande 4. Om det universitet eller den högskola som för ett register enligt den föreslagna lagen också bedriver forskning till vilken uppgifter från registret kan lämnas ut kommer det att röra sig om två olika verksamhetsgrenar inom myndigheten i offentlighets- och sekretesslagens (OSL) mening. För att en sekretessgräns ska uppstå inom en myndighet räcker det dock inte att det finns olika verksamhetsgrenar, utan dessa måste också organiseras på ett sådant sätt att de är självständiga i förhållande till varandra (8 kap. 2 § OSL). I propositionen (s. 73) förutsätter regeringen att lärosätena organiserar sin verksamhet så att separata verksamhetsgrenar uppstår. Något krav på att så ska ske uppställs emellertid inte, och någon uppföljning av att så skett aviseras inte heller. Risken finns således att registret hanteras inom ramen för samma organisatoriska verksamhet som sedermera bedriver forskning med hjälp av data från registret. Risken finns också att lärosätena inte gör samma bedömningar av vad som utgör olika verksamhetsgrenar, så att oklarhet uppstår mellan exempelvis de lärosäten som ingår i LifeGene om vad som är en självständig verksamhet eller inte. Jag anser att ett krav ska ställas på att register som förs med stöd av den föreslagna lagstiftningen ska föras inom en organisatoriskt fristående enhet inom myndigheten som inte får hantera någon annan verksamhet. Regeringen bör vidta lämpliga åtgärder enligt vad som anförts ovan. Utvärdering och uppföljning, punkt 5 (MP) av (MP). Jag anser att förslaget till riksdagsbeslut under punkt 5 borde ha följande lydelse: tillkännager för regeringen som sin mening vad som anförs i reservationen. 2012/13:Ub22 av m.fl. (MP) yrkande 5. Den föreslagna lagen är tidsbegränsad t.o.m. . Detta är mycket bra då det ger regeringen tillfälle att noga följa lagstiftningens tillämpning och effekter, för att använda den kunskapen vid beredningen av en mer permanent lagstiftning. Såväl Justitiekanslern som Datainspektionen har såväl ifrågasatt det rättsliga stödet för den föreslagna lagstiftningen som framfört allvarlig kritik i vissa specifika delar. Kritik har även framförts från och andra remissinstanser, bl.a. om behandling av personuppgifter avseende personer som fyllt . Detta, och det faktum att antalet registrerade personer inom ramen för registren kan antas komma att bli mycket stort, gör att det finns skäl att särskilt noga följa hur lagen tillämpas. Med tanke på mängden integritetskänsliga uppgifter, att det är register som inte kommer att bli föremål för särskild etisk prövning innan de startas (eller startas igen) och att lagen i sig är tidsbegränsad bör Datainspektionen få ett särskilt uppdrag att följa tillämpningen av den föreslagna lagen och att återkomma till regeringen med en redovisning. Denna utvärdering och uppföljning av registrens hantering bör redovisas till regeringen för att kunna användas i det framtida arbetet med en permanent registerlagstiftning. Regeringen bör vidta lämpliga åtgärder enligt vad som anförts ovan. Etikprövning av forskning, punkt 6 (MP) av (MP). Jag anser att förslaget till riksdagsbeslut under punkt 6 borde ha följande lydelse: tillkännager för regeringen som sin mening vad som anförs i reservationen. 2012/13:Ub22 av m.fl. (MP) yrkande 6. Det eller de register som omfattas av den föreslagna lagen kommer inte att bli föremål för särskild etikprövning. Däremot kommer varje enskilt projekt som baseras på patientdata ur registret att bli det. Det finns därför skäl att anta att ansökningar om tillstånd för projekt kan komma att bedömas olika, beroende på vilken regional nämnd som hanterar ansökan. Ett projekt vid ett lärosäte kan få tillstånd, medan ett projekt med samma inriktning vid ett annat lärosäte kan få sin ansökan avslagen eller beviljad med en stor mängd villkor. Detta gör att hanteringen av de känsliga personuppgifterna i huvudregistret kan komma att ske på olika sätt beroende på vilket lärosäte som bedriver forskningen. Det kan också komma att ske på olika sätt beroende på vilken etisk nämnd som prövar ansökan eller beroende på den regionala etikprövningsnämndens sammansättning. Detta är allvarligt ur flera olika perspektiv: patientsäkerhetens, integritetsskyddets, forskningens och forskningsfinansieringens. bör därför ges i uppdrag att noga följa hur de regionala etikprövningsnämnderna hanterar ansökningar om att bedriva forskning med patientdata från de nu aktuella registren. Nämnden bör även ge stöd till regionala nämnder som uppvisar stora olikheter i sin bedömning av ansökningar. En rapport bör därefter lämnas till regeringen som underlag i arbetet med en kommande permanent lagstiftning. Regeringen bör ge i uppdrag att följa upp tillstånd och beslut som fattas av regionala etikprövningsnämnder och att återkomma till regeringen med en redovisning. Åtgärder för att begränsa åtkomsten av uppgifter i registren, punkt 7 (MP) av (MP). Jag anser att förslaget till riksdagsbeslut under punkt 7 borde ha följande lydelse: tillkännager för regeringen som sin mening vad som anförs i reservationen. 2012/13:Ub22 av m.fl. (MP) yrkande 1. Av 10 § i den föreslagna lagen framgår att den personuppgiftsansvarige ska begränsa sina anställdas och uppdragstagares elektroniska åtkomst till personuppgifter till vad var och en behöver för att kunna fullgöra sina arbetsuppgifter i fråga om registret. Regeringen anger i författningskommentaren (s. 82) att de arbetsuppgifter som avses kan vara att föra in uppgifter i registret och att lämna ut uppgifter från registret. Vidare anför regeringen att med uppdragstagare avses bl.a. personuppgiftsbiträden. Syftet med begränsningen anges vara att förstärka skyddet för den personliga integriteten genom att se till att uppgifterna är tillgängliga för en så liten krets som möjligt. De register som möjliggörs genom den aktuella lagen ska enligt förslaget föras av universitet och högskolor som själva har intresse av att forskningen bedrivs. Flera av universiteten har samlokaliserat sin verksamhet med sjukhus som bedrivs av en sjukvårdshuvudman i offentlig regi. Vid ett flertal av dessa har Datainspektionen riktat allvarlig kritik mot hur känsliga personuppgifter hanterats inom patientdatalagstiftningens ramar. Det har framkommit och framkommer fortlöpande att möjligheten för personal att ta del av känsliga personuppgifter är omfattande, att kontrollen hos sjukvårdshuvudmännen över vilka som tar del av patientdata är bristfällig och att det finns brister i datasystemen som sådana. Även om det handlar om en annan personuppgiftsansvarig än som avses i den föreslagna lagen, kan det dock vara så att samma anställda som föreslås ges behörigheter enligt 10 § i den föreslagna lagen arbetar i en annan del av lärosätenas verksamhet och t.o.m. har delar av sin anställning hos sjukvårdshuvudmannen. De uppgifter som framkommit genom Datainspektionens tillsynsverksamhet visar på stora behov av ökad kunskap hos anställda om vad som är tillåten och otillåten hantering av patientdata. Det verkar rimligt att anta att behovet av kunskap även är stort hos den personal som kommer att arbeta med de nya registren som föreslås omfattas av den nya lagstiftningen. Sammantaget medför detta att jag ser en risk för att begränsningsskyldigheten enligt 10 § i den föreslagna lagen inte kommer att tillämpas så restriktivt som avses. Jag vill därför att Datainspektionen ska få i uppdrag att, tillsammans med de lärosäten som ges regeringens tillstånd att hantera de aktuella registren, utforma riktlinjer för hur åtkomsten ska begränsas till endast de ytterst få personer som behöver ha tillgång till uppgifterna för att hantera registret. Detta anser jag att som sin mening bör ge regeringen till känna. Regeringen bör vidta lämpliga åtgärder enligt vad som anförts ovan. Särskilt yttrande (S) (S), (S), (S), (S) och (S) anför: Vi har valt att inte reservera oss mot utskottets beslut men vill med ett särskilt yttrande lyfta fram några viktiga frågor som rör medicinsk forskning samt frågan om ärendets fortsatta beredning. Det medicinska forskningsområdet är ett av de mest kunskapsintensiva och viktigaste forskningsområdena. Medicinsk forskning och utveckling är en stor och viktig näringsgren för och har central betydelse för att vår hälso- och sjukvård ska kunna hålla högsta kvalitet. Nya upptäckter, behandlingsmetoder, vacciner, läkemedel och ny teknologi räddar liv och innebär att vi kan flytta fram positionerna när det gäller möjligheterna att bota, lindra och förebygga sjukdomar och ohälsa. Ska fortsätta att vara ett attraktivt land för forskning och företagande inom medicin, medicinteknik och läkemedel krävs mer av samordning och långsiktig samverkan. En förutsättning för att ska kunna konkurrera med världens alla stora länder när det gäller hälso- och sjukvård och klinisk forskning är att vi utvecklar och använder de fördelar som vi har jämfört med andra länder. Det finns ett område där svensk hälso- och sjukvård och medicinsk forskning har unika konkurrensfördelar. Personnummer, heltäckande befolknings- och hälsodataregister samt av hög kvalitet ger oss förutsättningar för att följa upp patienterna och därigenom utveckla vården och bedriva forskning som många länder saknar. Den vetenskapliga produktionen från kvalitetsregistren skulle kunna öka mångfalt. Regeringen föreslår att lagen om vissa register för forskning om vad arv och miljö betyder för människors hälsa ska vara tidsbegränsad och gälla till och med . Regeringen åtar sig att utvärdera lagen och ta ställning till om den ska permanentas, ändras eller ersättas av en annan reglering. Datainspektionen avstyrker förslaget då de ifrågasätter lagförslagets förenlighet med dataskyddsdirektivet när det gäller de föreslagna ändamålen för personuppgiftsbehandlingen, och inte heller Justitiekanslern kan tillstyrka förslaget. Men anledning av lagstiftningens inverkan på den personliga integriteten och tunga remissinstansers yttranden förutsätter vi att regeringen efter en utvärdering av den temporära lagen återkommer till för ställningstagande om den ska permanentas, ändras eller ersättas av en annan reglering. Förteckning över behandlade förslag Proposition 2012/13:163 Vissa register för forskning om vad arv och miljö betyder för människors hälsa: antar regeringens förslag till lag om vissa register för forskning om vad arv och miljö betyder för människors hälsa. antar regeringens förslag till lag om ändring i offentlighets- och sekretesslagen (2009:400). 2012/13:Ub21 av m.fl. (V): avslår proposition 2012/13:163. 2012/13:Ub22 av m.fl. (MP): tillkännager för regeringen som sin mening vad som anförs i motionen om åtgärder för att begränsa åtkomsten till uppgifter i registren. tillkännager för regeringen som sin mening vad som anförs i motionen om krav på att underrätta en enskild om en uppgift om honom eller henne lämnats ut till en myndighet med stöd av de sekretessbrytande bestämmelser som föreslås i proposition 2012/13:163. tillkännager för regeringen som sin mening vad som anförs i motionen om krav på att personer som fyllt ska informeras om hantering av personuppgifter om dem som registrerats innan de fyllde . tillkännager för regeringen som sin mening vad som anförs i motionen om krav på högskolor och universitet som såväl hanterar register enligt den föreslagna lagen som bedriver forskning med stöd av uppgifter ur registren att organisera sin verksamhet så att sekretess uppstår. tillkännager för regeringen som sin mening vad som anförs i motionen om att ge Datainspektionen i uppdrag att följa tillämpningen av den föreslagna lagen och att återkomma till regeringen med en redovisning. tillkännager för regeringen som sin mening vad som anförs i motionen om att ge i uppdrag att följa upp tillstånd och beslut som fattas av regionala etikprövningsnämnder och att återkomma till regeringen med en redovisning. Förslag till lag om vissa register för forskning om vad arv och miljö betyder för människors hälsa Förslag till lag om ändring i offentlighets- och sekretesslagen (2009:400) Vissa register för forskning om vad arv och miljö betyder för människors hälsa beslutade att ge tillfälle att yttra sig över proposition 2012/13:163 Vissa register för forskning om vad arv och miljö betyder för människors hälsa samt motioner som väckts med anledning av propositionen. Två motioner, 2012/13:Ub21 (V) respektive 2012/13:Ub22 (MP), har väckts med anledning av propositionen. begränsar sitt yttrande till att avse frågor som gäller skyddet för den enskildes personliga integritet och sekretess för uppgifter i det föreslagna registret. Regeringen föreslår i propositionen att universitet och högskolor i visst forskningssyfte ska få behandla personuppgifter av känslig natur, såsom uppgifter om enskildas hälsa, levnadsvanor, missbruk m.m. Behandlingen ska få ske endast med den enskildes uttryckliga samtycke. Uppgifterna ska bara kunna användas i sådana forskningsprojekt om vad arv och miljö betyder för människors hälsa som har godkänts av en etikprövningsnämnd och bara i avidentifierad form. Datainspektionen och Justitiekanslern har i remissyttranden avstyrkt lagförslaget. De har bl.a. anfört att frågan kräver ytterligare utredning och att den pågående arbete därför bör avvaktas samt att det kan ifrågasättas om förslaget är förenligt med dataskyddsdirektivets krav på tydligt angivna ändamål för behandlingen av personuppgifter. Datainspektionen har dessutom anfört bl.a. att det finns risk för att integritetsskyddsfrågorna inte tas på tillräckligt allvar när det är högskolorna, som är de som har direkt nytta av uppgifterna, som ska vara ansvariga för personuppgiftsbehandlingen. Lagrådet har inte haft någon att invända i de delar som är av betydelse för yttrande. Två motioner (V respektive MP) har väckts med anledning av propositionen. Utskottet delar regeringens bedömning att det finns ett behov av att lösa den rättsliga osäkerhet som tydliggjorts av Datainspektionens beslut. Den forskning som kan bedrivas med hjälp av uppgifter ur aktuella register är så angelägen att man inte bör invänta det pågående utredningsarbetet. Utskottet, som lägger särskild vikt vid att endast registrering med den enskildes uttryckliga samtycke ska få förekomma, att endast avidentifierade uppgifter ska få lämnas ut och att forskning i tidigare lagstiftningsärenden av har ansetts vara ett tillräckligt tydligt angivet ändamål i dataskyddsdirektivets mening, anser att den föreslagna lagen är lämpligt utformad. Genom att tidsbegränsa lagen skapas dessutom garantier för att regleringen utvärderas och att resultatet av det utredningsarbete som bedrivs av beaktas i det fortsatta lagstiftningsarbetet.