prop · H003163 · 2013-05-24 00:00:00 — kategoriseringar av sådana uppgifter som avses ovan, kontaktinformation till den registrerade, andra uppgifter än som avses ovan och som den registrerade uttryckligen har samtyckt till får ingå i registret, och uppgifter om utlämnande som har skett till forskning. Regeringens bedömning: Regeringen eller den myndighet som regeringen bestämmer bör meddela föreskrifter om i vilken utsträck- ning uppgifter avseende genetiska undersökningar får registreras. Promemorians förslag: Överensstämmer i huvudsak med regeringens Promemorians förslag innebär att uppgifter som den registrerade lämnat om biologiska släktingar ska få registreras under förutsättning att uppgifterna inte direkt pekar ut personerna i fråga. Promemorian innehåller vidare en alternativ möjlighet att registrera uppgifter avseende genetiska undersökningar. Sådana ska enligt förslaget få registreras under förutsättning att den registrerade, efter att ha fått del av analysresultaten, uttryckligen samtyckt till registrering. Vidare anges som förutsättning för registrering av andra uppgifter än sådana som den enskilde själv har lämnat eller medverkat till i syfte att de ska registreras att de endast ska få registreras under förutsättning att den enskilde, efter att ha fått del av uppgifterna, uttryckligen samtyckt till registrering. Remissinstanserna: En majoritet av remissinstanserna har inget att invända mot förslaget. och anser att en registrering av uppgifter om biologiska släktingar, som görs under förutsättning att de uppgifter som registreras inte direkt pekar ut släktingarna, har ett begränsat värde för forskningen. Justitiekanslern och Datainspektionen ifrågasätter om en ordning som innebär att uppgifter om biologiska släktingar registreras utan att dessa personer på något sätt kontaktas eller informeras är förenlig med dataskyddsdirektivet. Cancerfonden har ifrågasatt förslaget i den delen det avser registrering av uppgifter om genetiska undersökningar. Cancerfonden menar att ett krav att den enskilde först ska få ta del av analysresultatet innan uppgifter om den genetiska undersökningen ska få registreras är problematiskt av flera skäl. Till att börja med är det forskningsetiskt tveksamt om tolk- ningsbar information kan lämnas om resultaten av genetiska undersök- ningar, i synnerhet som dessa i allt mindre utsträckning avser test av enskilda specifika gener och i allt högre utsträckning avser storskaliga molekylärbiologiska ("high throughput) analyser av tusentals gener och genetisk information vilken endast blir möjlig att tolka efter omfattande bioinformatisk bearbetning, och då i biostatistiska termer. Cancerfonden anser vidare att det är en kostsam ordning, att ordningen skulle kunna hota deltagarfrekvensen och det kan innebära en ekonomisk risk för den som bekostar undersökningen. Även påtalar att det finns praktiska problem med att bryta ner genetiska resultat, som man får på gruppnivå, till resultat som ska nyttjas för individuell rådgivning, eftersom mycket få genetiska resultat innebär en entydig risk för ohälsa i det individuella fallet. påpekar vidare att sådan återkoppling kräver mycket delikata avväganden som forskaren själv normalt inte bör tillåtas göra, och att den registrerade i många fall hellre kan vilja förbli ovetande om att han eller hon bär på anlag som ökar risken för en obotlig kronisk sjukdom. Förslaget kommer enligt att innebära återkommande kontakter med de personer som deltagit i studier, vilket innebär tidskrävande administration och en uppenbar risk för att intresset för deltagande i olika forskningsstudier minskar. i län anser att innan man tar ställning till en bestämmelse om att resultat av genetiska undersökningar inte får registreras utan att den registrerade först har fått ta del av resultatet och uttryckligen samtyckt till det, bör man först försöka bedöma effekten av en sådan bestämmelse, t.ex. om det finns risk för att detta kan leda till att registret får ett begränsat värde för forskningen om arv och miljö, och om det inte räcker med att den 2012/13:163 registrerade har rätt att få sina uppgifter strukna. Även har ställt sig frågande till förslaget i denna del. anser att det i lagtexten bör exemplifieras att med andra uppgifter avses uppgifter ur medicinska journaler. efterfrågar redogörelser av hur inhämtningen av andra uppgifter ska göras och huruvida avsikten är att det ska ske med åberopande av ett samtycke eller en fullmakt från varje deltagare i studien och om kopior av sådana fullmakter skulle behöva lämnas vid varje förnyad begäran av att få del av uppgifterna. Enligt skulle en sådan ordning medföra en hel del praktiska problem och myndigheten anser att ett lämpligare förfaringssätt i så fall är att införa någon typ av sekretessbrytande bestämmelser för denna typ av uppgifter. Cancerfonden undrar om det är möjligt att flytta en del av dessa konsekutiva samtyckesförfaranden, per resultat eller påförd informations- mängd, till det ursprungliga samtycket att delta i registret. När det gäller det utkast till lagrådsremiss som vissa remissinstanser under den fortsatt beredningen har beretts tillfälle att yttra sig över (se avsnitt 3), och som överensstämmer med regeringens förslag, har Data- inspektionen framfört att myndigheten anser att det är en försämring ur integritetsskyddssynpunkt att förslaget att den registrerade, innan han eller hon tillfrågas om samtycke, ska få ta del av den information som den personuppgiftsansvarige vill föra in i registret har utgått. Datainspek- tionen anser inte att ett samtycke till att uppgifter som den registrerade inte tagit del av får registreras, kan vara ett giltigt samtycke. Övriga myndigheter och organ som har beretts tillfälle att yttra sig över utkastet har inte haft några invändningar mot förslaget. Skälen för regeringens förslag Får uppgifter om hälsa registreras? Enligt artikel 8.1 i dataskyddsdirektivet ska medlemsstaterna förbjuda behandling av s.k. känsliga personuppgifter, dvs. sådana uppgifter som bl.a. rör hälsa och sexualliv. Enligt artikel 8.2a gäller det förbudet inte om den registrerade har lämnat sitt uttryckliga samtycke till en sådan behandling. Under förutsättning av lämpliga skyddsåtgärder och av hänsyn till ett viktigt allmänt intresse får medlemsstaterna i sin nationella lagstiftning också besluta om undantag från förbudet (artikel 8.4), men sådana beslutade undantag ska anmälas till Europeiska kommissionen (artikel 8.6). Som framgår av avsnitt 5.4 bör de primära ändamålen med registret vara dels att skapa underlag för olika forskningsprojekt om vad arv och miljö betyder för uppkomsten och utvecklingen av olika typer av sjukdomar och för människors hälsa i övrigt, dels att lämna ut uppgifter till sådan forskning under förutsättning att såväl forskningen som behandlingen av uppgifterna har godkänts enligt etikprövningslagen och att forskningen bedrivs vid en myndighet. Som regeringen återkommer till i avsnitt 5.7 bör uppgifter inte få samlas in i syfte att de ska registreras i ett register som förs enligt den föreslagna lagen utan att den person som uppgifterna avser uttryckligen har samtyckt till att personuppgifter behandlas enligt den föreslagna lagen. Ett uppbyggande på frivillig grund av databaser hos statliga universitet Prop. 2012/13:163 och högskolor med basmaterial som kan lämnas ut till konkreta forskningsprojekt som har godkänts vid en etikprövning är enligt regeringen också ett sådant viktigt allmänt intresse som avses i dataskyddsdirektivet. De bestämmelser som finns i den föreslagna lagen, bl.a. i fråga om information, samtycke och utplåning av uppgifter (se avsnitt 5.7), får anses utgöra sådana lämpliga skyddsåtgärder som avses i dataskyddsdirektivet. Regeringen anser således att dataskyddsdirektivet inte hindrar att känsliga personuppgifter får behandlas enligt den föreslagna lagen. Vilka uppgifter bör få registreras? De uppgifter som efter att ett uttryckligt samtycke från den enskilde bör få samlas in och registreras i ett register enligt den föreslagna lagen är till att börja med uppgifter som den registrerade själv har lämnat. Det kan t.ex. vara svar på enkäter om bl.a. kostvanor, livsstil, rökning och medici- nering. Ett register enligt den föreslagna lagen kommer vidare ofta att vara kopplat till prover som den registrerade vid en undersökning frivilligt har lämnat för analys och senare registrering av analysresul- taten. Med undersökningar avses bl.a. mätningar av försökspersonernas fysiologiska egenskaper, t.ex. syn, hörsel, lungfunktion, blodtryck m.m. samt prover med biologiskt material från människa. Även uppgifter om eller i form av upptagningar som den registrerade frivilligt har medverkat till kan behöva registreras för enklare framsökning av personer med vissa egenskaper. Med upptagningar avses röntgenbilder eller annan bild- eller ljudinformation som avser människa. Uppgifter som rör sådana prover och upptagningar som den registrerade själv har lämnat eller annars medverkat till i syfte att analysresultaten ska ingå i registret bör alltså få registreras. När det gäller registrering avseende analysresultat av genetiska undersökningar bör det dock, med hänsyn till de särskilda restriktioner som finns i lagen (2006:351) om genetisk integritet m.m. avseende genetiska undersökningar och användningen av genetisk information, uppställas särskilda krav för att registrering ska få ske. I promemorian föreslås att uppgifter om genetiska undersökningar ska få registreras under två alternativa förutsättningar, antingen under förutsättning att den registrerade efter att ha fått del av analysresultaten uttryckligen samtyckt till registrering, eller under förutsättning att rege- ringen eller den myndighet som regeringen bestämmer har meddelat föreskrifter om det. Mot bakgrund av den kritik som har riktats mot det förstnämnda förslaget från bl.a. Cancerfonden och anser regeringen att uppgifter om genetiska undersökningar endast ska få registreras under förutsättning att regeringen eller den myndighet som regeringen bestämmer har meddelat föreskrifter om det. Utöver ovan nämnda uppgifter bör kategoriseringar av uppgifterna, kontaktinformation till den registrerade och uppgifter om till vilka forskningsprojekt uppgifter om honom eller henne har lämnats ut få registreras. När det gäller andra uppgifter än de ovan angivna föreslås i prome- att sådana uppgifter enbart får registreras efter det att den registrerade först tagit del av uppgifterna och därefter uttryckligen 2012/13:163 samtyckt till behandlingen. Flera remissinstanser, bl.a. och Cancerfonden, har ifrågasatt detta förslag från praktiska utgångs- punkter. Regeringen anser mot denna bakgrund att det inte bör uppställas krav på att det enskilde tagit del av varje enskild uppgift före samtycket utan att det bör räcka att den enskilde, efter att ha fått information om vilka kategorier av uppgifter det är fråga om, samt, för det fall ett nytt samtycke inte avses inhämtas före varje uppdatering av uppgifterna, med vilken periodicitet sådana uppgifter kommer att uppdateras, uttryckligen samtycker till att uppgifterna inhämtas för registrering för att dessa ska få inhämtas och registreras. Efter sådant samtycke kan t.ex. uppgifter som har samlats in före ikraftträdandet av den föreslagna lagen, journal- anteckningar och resultaten av analyser som gjorts inom sådana forsk- ningsprojekt som har godkänts vid en etikprövning inhämtas och registreras. Datainspektionen har i sitt yttrande under den fortsatt beredningen (se avsnitt 3) framfört att myndigheten anser att det är en försämring ur integritetsskyddssynpunkt att förslaget att den registrerade, innan han eller hon tillfrågas om samtycke, ska få ta del av den information som den personuppgiftsansvarige vill föra in i registret, har utgått. Data- inspektionen anser att ett samtycke till att uppgifter som den registrerade inte tagit del av får registreras, inte kan vara ett giltigt samtycke. Regeringen anser att lagförslagets krav på ett uttryckligt samtycke för att kunna föra in uppgifter i de aktuella registren inte utesluter att den registrerade om han eller hon så önskar begär att få ta del av de efterfrågade uppgifterna innan samtycke ges. Förslagets utformning ger sålunda ett fullgott integritetsskydd och utrymme för självbestämmande för den enskilde. I promemorian förslås även att uppgifter som den registrerade lämnat om biologiska släktingar ska få registreras under förutsättning att upp- gifterna inte direkt pekar ut personerna i fråga. Justitiekanslern och Datainspektionen ifrågasätter om en ordning som innebär att uppgifter om biologiska släktingar ska kunna registreras utan att dessa personer på något sätt har kontaktas eller informeras är förenlig med dataskydds- direktivet. Regeringen delar denna tvekan och anser att uppgifter om en biologisk släkting till den registrerade inte bör få registreras utan dennes informerade och uttryckliga samtycke. Regeringens förslag: Den personuppgiftsansvarige ska begränsa sina anställdas eller uppdragstagares elektroniska åtkomst till person- uppgifter till vad han eller hon behöver för att utföra sina arbetsupp- gifter i fråga om registret. Utlämnande av personuppgifter genom direktåtkomst får inte före- komma. Bestämmelserna i personuppgiftslagen om rättelse ska tillämpas på motsvarande sätt vid behandling av personuppgifter i strid med den föreslagna lagen. Personuppgifter som inte längre behövs för att lämnas ut för forsk- ning ska gallras, om inte regeringen eller den myndighet som regeringen bestämmer har meddelat föreskrifter om eller i ett enskilt fall beslutat att uppgifter får bevaras för historiska, statistiska eller Promemorians förslag: Överensstämmer med regeringens förslag. Remissinstanserna: En majoritet av remissinstanserna har inget att invända mot förslaget. Kammarrätten i anser att lagförslaget bör kompletteras med en bestämmelse om att personuppgifter ska hanteras och förvaras på sådant sätt att obehöriga inte får tillgång till dem. läns landsting och ställer sig frågande till när och om en situation då uppgifterna inte längre skulle behövas för ändamålet med registret kommer att uppkomma. universitet anser att det finns en potentiell risk att en granskning vid eventuella metodologiska frågetecken eller forskningsfusk i tidigare studier försvåras om personuppgifter utplånas alltför snabbt. universitet föreslår att man kan överväga säker arkivering av material (med åtkomst endast i de fall då det finns metodologiska frågetecken eller då man misstänker forskningsfusk), åtminstone för större eller kontroversiella projekt, av efter det att projektet När det gäller det utkast till lagrådsremiss som vissa remissinstanser under den fortsatta beredningen har beretts tillfälle att yttra sig över (se avsnitt 3), och som i sak överensstämmer med regeringens förslag, har framfört att det enligt myndighetens uppfattning saknas motiv för att meddela från arkivlagen avvikande bestämmelser om gallring av personuppgifter. Skälen för regeringens förslag Som framgått av avsnitt 5.2 ska den föreslagna lagen bara innehålla sådan reglering som kompletterar eller ersätter regleringen i personuppgiftslagen i de frågor som är specifika för den verksamhet som regleras i föreslagna lagen. I särskilda registerförfattningar förekommer det inte sällan s.k. sök- begränsningar som förbjuder användningen av vissa sökbegrepp. hänsyn till att det för utlämnande till forskningsprojekt måste vara möj- ligt att göra urval baserade på de faktorer eller variabler som ska studeras bör det dock inte i den föreslagna lagen ställas upp några begränsningar för vilka sökbegrepp som får användas. Intern elektronisk tillgång till personuppgifter och direktåtkomst I lagrådsremissen föreslogs att det i lagen bör föreskrivas dels att till- gången till personuppgifter ska begränsas till vad var och en behöver för att kunna fullgöra sina arbetsuppgifter, dels att direktåtkomst till person- uppgifterna i registret inte ska få förekomma. Lagrådet har förordat att 2012/13:163 dessa bestämmelser ska förtydligas och har föreslagit att de utformas efter mönster av 114 kap. 18 § socialförsäkringsbalken. Enligt 114 kap. 6 § första stycket socialförsäkringsbalken gäller personuppgiftslagen vid behandling av personuppgifter inom socialförsäkringens administration, om inte annat följer av det kapitlet eller föreskrifter som meddelas med stöd av kapitlet eller av personuppgiftslagen. Med socialförsäkringens administration avses i kapitlet och Pensionsmyndig- heten. Socialförsäkringsdatabasen utgörs av den samling uppgifter som med hjälp av automatiserad behandling används gemensamt i verksamhet som gäller förmåner enligt socialförsäkringsbalken samt andra förmåner som handläggs av eller (5 §). Vidare är respektive person- uppgiftsansvarig för den behandling av personuppgifter som respektive myndighet utför (6 § andra stycket). Enligt 18 § är direktåtkomst till socialförsäkringsdatabasen tillåten endast i den utsträckning som anges i lag eller förordning. I 1923 §§ anges i vilken utsträckning Försäkrings- kassan, och vissa andra myndigheter och organ får ha direktåtkomst. I 19 § anges att och Pensions- myndigheten får ha direktåtkomst till socialförsäkringsdatabasen i den utsträckning det behövs för vissa angivna ändamål samt att sådan direktåtkomst ska vara förbehållen de personkategorier som på grund av sina arbetsuppgifter behöver tillgång till uppgifterna. Regeringen konstaterar att begreppsbildningen i de cirka 200 registerförfattningarna har vissa brister när det gäller enhet- lighet. Olika begrepp används för att beskriva samma företeelse, sam- tidigt som samma begrepp förekommer i olika betydelser. En särskild utredare har bl.a. därför fått i uppdrag att bl.a. utarbeta en generell modell för reglering av registerfrågor samt att inom tre verksamhetsområden lämna konkreta förslag till registerförfattningar, s.k. modellregleringar Uppdraget ska redovisas (dir. 2011:86). Begreppet direktåtkomst är ett sådant begrepp som har utvecklats och därför har olika innebörd i olika registerförfattningar. Begreppets grundläggande innebörd är vanligtvis att någon har direkt tillgång till någon annans register eller databaser och på egen hand kan söka efter information, dock utan att kunna påverka innehållet i registret eller databasen. I begreppet direktåtkomst ligger också att den som är ansvarig för registret eller databasen inte har någon kontroll över vilka uppgifter som mottagaren vid ett visst tillfälle tar del av (se t.ex. prop. 2004/05:164 s. 83). Det ska dock beaktas att en bestämmelse om direktåtkomst inte har någon sekretessbrytande verkan i sig utan en förutsättning för att direktåtkomst ska kunna tillåtas mellan t.ex. två myndigheter är att åtkomsten antingen avser endast offentliga uppgifter eller avser sådana sekretessbelagda uppgifter som får lämnas ut till den mottagande myndigheten med stöd av särskilda sekretessbrytande bestämmelser. Sekretess kan även gälla inom en myndighet, nämligen mellan olika verksamhetsgrenar när de uppträder självständigt mot varandra (8 kap. 2 § offentlighets- och sekretesslagen [2009:400, OSL]). En bestämmelse om direktåtkomst som tar sikte på utlämnande av uppgifter mellan sådana verksamhetsgrenar förutsätter därför att det finns eller införs en sekretessbrytande bestämmelse som tillåter ett sådan utlämnande. I vissa författningar från främst används begreppet direktåtkomst om elektronisk åtkomst oavsett om det är fråga om sådan elektronisk åtkomst som den personuppgiftsansvarigas anställda eller uppdragstagare har till personuppgifterna eller om det är fråga om sådan elektronisk åtkomst som innefattar ett utlämnande av uppgifter, t.ex. till andra myndigheter (jfr 8 § lagen [1998:543] om hälsodataregister). har dock lagstiftaren frångått denna användning av begreppet och man skiljer numera på olika former av elektronisk åtkomst. För den elektroniska åtkomst som den personuppgiftsansvariges anställda eller uppdragstagare har används numera uttryck såsom elektronisk åtkomst eller intern elektronisk tillgång medan begreppet direktåtkomst reserveras för sådan elektronisk åtkomst som innefattar ett utlämnande av uppgifter, se t.ex. 4 kap. 25 §§ respektive 5 kap. 4 och 5 §§ patient- datalagen (2008:355) och prop. 2007/08:126 s. 73 f. samt 914 §§ studie- stödsdatalagen (2009:287) och prop. 2008/09:96 s. 53 f. Som nämnts ovan har Lagrådet hänvisat till socialförsäkringsbalken som en lämplig förebild när det gäller hur regleringen om direktåtkomst i den föreslagna lagen ska utformas. I socialförsäkringsbalkens reglering är databasbegreppet en juridisk konstruktion som utgör underlag för en gemensam reglering av vissa behandlingar av personuppgifter, nämligen sådana behandlingar som avser personuppgifter som används gemensamt i viss verksamhet hos de myndigheter som ingår i socialförsäkringens administration, dvs. Det avgörande för om en uppgift skall anses användas gemensamt är om den behandlas på ett sådant sätt att den utgör allmän egendom i verksamheten (prop. 2002/03:135 s. 49 f.). Som nämnts tidigare är respektive personuppgifts- ansvarig för den behandling av personuppgifter som myndigheten i fråga utför, t.ex. när det gäller införande av uppgifter i databasen eller hämtande av uppgifter från databasen. Av 114 kap. 19 § socialför- säkringsbalken följer att och får ha direktåtkomst till gemensamma uppgifter i databasen i syfte att behandla uppgifterna för vissa angivna ändamål i sina operativa verk- samheter. Den ena myndigheten kan således ha direktåtkomst till uppgifter som den andra myndigheten har fört in i registret och den mottagande myndigheten kan sedan använda uppgifterna i sin verksamhet. Bestämmelserna i 114 kap. 1823 §§ socialförsäk- ringsbalken motsvarar 1720 b §§ i den numera upphävda lagen (2003:763) om behandling av pensionsuppgifter inom social- försäkringens administration. I förarbetena till bestämmelserna omtalas i samband med begreppet direktåtkomst endast utlämnande till andra myndigheter och enskilda (prop. 2002/03:135 s. 88 f). Som nämnts ovan är regeringens avsikt att myndigheter som avser att behandla uppgifter från ett register enligt den föreslagna lagen för sådan forskning eller annat sekundärt ändamål som anges i avsnitt 5.4 inte ska få ha elektronisk åtkomst till registret. Det är bara de anställda och uppdragstagare hos den personuppgiftsansvariga myndigheten som ska sköta den verksamhet som avser själva hanteringen av registret, t.ex. arbetsuppgifter som innebär ett införande av uppgifter i registret eller utlämnande av uppgifter från registret, som ska få ha elektronisk åtkomst till personuppgifterna. Sådan åtkomst ska vidare begränsas till vad var och en behöver för att kunna fullgöra sina arbetsuppgifter i fråga om registret. Med hänsyn till att det är viktigt att de begrepp som används i register- författningar används så enhetligt som möjligt (jfr dir. 2011:86 s. 19) anser regeringen att man i den föreslagna lagen, på så sätt som sker, bör skilja mellan dels sådan elektronisk åtkomst som den person- uppgiftsansvarigas anställda eller uppdragstagare har till personupp- gifterna för att kunna sköta sina arbetsuppgifter i fråga om registret, dels sådan elektronisk åtkomst som innefattar ett utlämnande av uppgifter från registret till någon annan, t.ex. en annan myndighet eller en annan självständig verksamhet inom samma myndighet gentemot vilken det gäller en sekretessgräns. Den form av elektronisk åtkomst som innefattar ett utlämnande av personuppgifter bör benämnas direktåtkomst och som nämnts tidigare bör sådan åtkomst till personuppgifter i register enligt den föreslagna lagen inte tillåtas.