prop · H003163 · 2013-05-24 00:00:00 — anser att den föreslagna ordningen är ändamålsenlig och att det är viktigt i detta sammanhang att påpeka att det även föreligger en skyldighet att beakta personuppgiftslagens regelverk avseende såväl fysisk säkerhet som informationssäkerhet. Kammarrätten i konstaterar att promemorian bemöter den synpunkt som kammarrätten tidigare framfört rörande förhållandet mellan den då föreslagna förordningen och personuppgiftslagen, och att kammarrätten inte har någon annan uppfattning i den frågan än vad som då anfördes. Skälen för regeringens förslag: Enligt 2 § personuppgiftslagen ska, om det i en annan lag eller i en förordning finns bestämmelser som avviker från personuppgiftslagen, de bestämmelserna gälla i stället för personuppgiftslagens bestämmelser. Särregleringar konstrueras i de flesta fall så att särregleringen endast kompletterar eller ersätter personupp- giftslagen i frågor som är specifika för de verksamheter som omfattas av särlagstiftningen. Detta innebär att myndigheten måste beakta såväl den särskilda registerförfattningen som personuppgiftslagen vid sin behand- ling av personuppgifter. Alternativet är en heltäckande reglering av all personuppgiftsbehandling i en viss verksamhet. Ofta kompletteras en sådan reglering med en uppräkning av vilka regler i personuppgiftslagen som trots allt ska tillämpas. Sistnämnda lagstiftningsteknik har bl.a. använts i lagen (2001:181) om behandling av uppgifter i beskattningsverksamhet. Anledningen till detta anges i förarbetena är att man på det sättet uppnår en större tydlighet och överskådlighet för tillämparna. Lagrådet riktade dock i det lagstiftningsärendet kritik mot den valda lagstiftningstekniken som man ansåg otillfredsställande och riskfylld. Trots att regeringen i just detta fall valde att inte ändra lagstiftningsteknik (prop. 2000/01:33 s. 88), har regeringen i andra lagstiftningsärenden avvisat denna typ av lagkonstruktion med hän- visning till Lagrådets uttalanden (se exempelvis prop. 2002/03:135 s. 46 f.). I samband med införandet av exempelvis polisdatalagen (2010:301) godtogs dock åter denna lagstiftningsteknik. Kammarrätten i har i ett remissyttrande över förslaget till en förordning och i remissyttrandet över utkastet till lagrådsremiss ansett att det finns ett mycket stort värde i att inte lämna tillämparen utan väg- ledning i fråga om vilka bestämmelser i personuppgiftslagen som är tillämpliga. Kammarrätten förordar därför den lagstiftningsmodell som innebär att den föreslagna lagen ska tillämpas i stället för person- uppgiftslagen och att de bestämmelser i personuppgiftslagen som ska tillämpas räknas upp i den särskilda registerförfattningen. Kammarrätten räknar också upp ett antal författningsförslag och lagar där denna lagstiftningsteknik har använts. Av det ovan anförda framgår att det finns exempel på båda lagstiftningsmodellerna i gällande registerförfattningar. Regeringen anser dock att utgångspunkten i detta fall bör vara att den nya lagen endast bör ersätta eller komplettera personuppgiftslagen i frågor som är specifika för den reglerade verksamheten. De särregler som behövs i förhållande till personuppgiftslagens regler är nämligen i detta fall förhållandevis få. Att då räkna upp alla de regler i personuppgiftslagen som fortfarande ska tillämpas skulle leda till en otymplig och föga tilltalande dubbelreglering. Mot denna bakgrund anser regeringen att den nya lagen endast bör innehålla de särregler som behövs och att personuppgiftslagen i övriga avseenden ska vara direkt tillämplig för verksamheten. Det bör för tydlighets skull, såsom är brukligt vid användningen av denna lagstiftningsmodell, uttryckligen anges att personuppgiftslagen gäller vid 2012/13:163 behandling av personuppgifter, om inte annat följer av den föreslagna lagen. Det kan tilläggas att regeringen mot bakgrund av samma slags synpunkter från Kammarrätten i gjort motsvarande bedömning i fråga om den särskilda registerförfattningen för behand- lingen av personuppgifter vid ningspolitisk utvärdering (prop. 2011/12:176 s. 2526). Att personuppgiftslagen gäller vid behandling av personuppgifter enligt den föreslagna lagen innebär bl.a. att tillsynsmyndigheten, Datainspektionen enligt 2 § personuppgiftsförordningen (1998:1191), har de befogenheter som anges i personuppgiftslagen även i fråga om behandling av personuppgifter enligt den föreslagna lagen. Regeringens förslag: De universitet eller högskolor som utför behandlingen av personuppgifter är personuppgiftsansvariga. Promemorians förslag: Överensstämmer med regeringens förslag. Remissinstanserna: Ingen remissinstans har kommenterat förslaget. Skälen för regeringens förslag: Med personuppgiftsansvarig avses enligt 3 § personuppgiftslagen den som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen av personuppgifter. Det bör i den föreslagna lagen, såsom är brukligt i särskilda registerförfattningar, uttryckligen anges vilken myndighet som är personuppgiftsansvarig, dvs. i nu aktuellt fall de universitet eller högskolor som utför behandlingen av personuppgifter. 5.4Ändamålen med behandlingen av personuppgifter Regeringens förslag: Personuppgifter får bara behandlas för att skapa underlag för olika forskningsprojekt om vad arv och miljö betyder för uppkomsten och utvecklingen av olika typer av sjukdomar och för människors hälsa i övrigt, lämna ut uppgifter till sådan forskning under förutsättning dels att såväl forskningen som behandlingen av uppgifterna har godkänts enligt etikprövningslagen, dels att forskningen bedrivs vid en myndig- het, lämna ut uppgifter till en utredning av oredlighet i sådan forskning eller för att ett yttrande ska kunna lämnas i samband med en sådan utredning, lämna ut uppgifter till den registrerade själv, lämna ut uppgifter om det finns en skyldighet enligt lag att göra det, och bevaras för historiska, statistiska eller vetenskapliga ändamål om regeringen eller den myndighet som regeringen bestämmer har meddelat föreskrifter om eller i ett enskilt fall beslutat det. När det är fråga om utlämnande av uppgifter till den angivna forskningen eller till en utredning av oredlighet i sådan forskning eller för att ett yttrande ska kunna lämnas i samband med en sådan utredning får endast personuppgifter som inte är direkt hänförliga till den enskilde lämnas ut. Uppgifterna får dock vara försedda med en beteckning som hos den personuppgiftsansvarige kan kopplas till personnummer eller motsvarande identitetsbeteckning (s.k. löpnum- mer). Löpnummer och personnummer (s.k. kodnyckel) får lämnas ut till en annan myndighet om det är nödvändigt för att den mottagande myndigheten ska kunna lämna ut uppgifter om samma personer till det etikgodkända forskningsprojektet. Promemorians förslag: Överensstämmer delvis med regeringens förslag. Promemorians förslag till lagtext innehåller en exemplifiering av vad som avses med miljö. Förslaget innebär vidare att uppgifter endast ska få lämnas ut till forskning som bedrivs vid statliga universitet och högskolor. I promemorians förslag används uttrycket avidentifierade uppgifter för att beteckna uppgifter som inte är direkt hänförliga till den enskilde. Promemorian innehåller inte något förslag om att uppgifter om löpnummer och personnummer (s.k. kodnyckel) får lämnas ut till andra registerförande myndigheter om det är nödvändigt för att den mottagande myndigheten ska kunna lämna ut uppgifter om samma personer till ett etikgodkänt forskningsprojekt. Remissinstanserna: Förslaget har tillstyrkts eller lämnats utan invändningar av bl.a. Förvaltningsrätten i , , , , , , Kungl. Tekniska högskolan, , Kommuner och Landsting, , i län, , och . anser att det är väsentligt att man i lagförslaget gör en distinktion mellan uppgifter för att skapa underlag för forsknings- projekt och uppgifter för preciserade och relativt snävt avgränsade forsk- ningsprojekt, dvs. forskningsprojekt av den typ som etikprövnings- nämnder regelbundet prövar. Det förtydligande som har gjorts i förslaget om att personuppgifter får behandlas för att skapa underlag för olika forskningsprojekt, dvs. för att bygga upp databaser med en annan termi- nologi är enligt utmärkt och ett nödvändigt steg framåt för att lösa upp låsningar mellan myndigheter och forskare när det gäller tolkningen av nuvarande lagstiftning. och anser dock att lagtextens precisering av begreppet miljö såsom förebyggande åtgärder och sjukdomsbehandling är onödigt snäv. Flera remissinstanser, bl.a. och , anser att uppgifter från registren även bör kunna lämnas ut till forskning som bedrivs av andra myndigheter än universitet och högskolor. anser att vissa uppgifter hos ett universitet eller högskola som samlats in med stöd av den föreslagna lagen torde kunna bli betydelsefulla för patientnära forskning som bedrivs med ett landsting som forskningshuvudman eller som sker integrerat med kvalitetssäkringen hos nationella eller regionala kvalitets- register. Uppgifter som samlats in enligt den föreslagna lagen kan enligt sannolikt även vara av värde för myndigheter inom hälso- och sjukvården för andra ändamål utöver forskning såsom verksam- hetsuppföljning, kvalitetssäkring eller för statistiska ändamål. Lands- tinget ifrågasätter om den föreslagna lagens strama reglering av ändamål och utlämnande kan skapar inlåsningseffekter, som kan försvåra exem- pelvis ändamålsenlig interaktion med i kvalitetsregister förekommande personuppgifter. påpekar att även om lagen föreslås ha en begränsad giltighetstid i avvaktan på ett mera generellt förslag kan en särlösning innebära att vissa frågor låses och att det kan bli svårt att frångå den lösning som beslutas. befarar att lagens detaljerade föreskrifter och långtgående skydd för de individer som medverkar går så långt att detta motverkar representativitet och andra forskningsinriktade mål. anser att lagen bör vara tillämplig även på annan angelägen forskning, t.ex. nationella och longitudinella studier av skolbarn. Justitiekanslern anser att det kan ifrågasättas om de i lagförslaget angivna ändamålen för de aktuella registren är tillräckligt precisa för att uppfylla kraven i dataskyddsdirektivet. Datainspektionen anser att ändamålet med personuppgiftsbehandlingen i förslaget är mycket vidare än i de hälsodataregister som inspektionen ser som möjliga förebilder och att det i detta fall rör sig om ett mycket större antal uppgifter än vad som registreras i hälsodataregistren. Lagförslaget kan enligt Data- inspektionen därför inte sägas ha ett begränsat ändamål i den bemärkelse som hälsodataregistren har. läns landsting ifrågasätter att man överhuvudtaget kan betrakta en viljeyttring att delta i ett sådant register som ett informerat samtycke. Flera remissinstanser, bl.a. , och läns landsting har anfört att inte framgår klart vad som menas med avidentifierad och att begreppet används på ett felaktigt sätt i prome- . Cancerfonden påpekar att forskningsprojekt baserade på den tilltänkta typen av register ofta kräver länkning av personuppgifter till exempelvis hälsodataregister. I lagförslaget understryks att endast avidentifierade personuppgifter får utlämnas för senare forsknings- projekt. Cancerfonden vill förvissa sig om att denna skrivning ändå medger länkning till t.ex. i senare forsk- ningsprojekt eftersom en del av potentialen i den tilltänkta typen av register annars går förlorad. ifrågasätter varför inte personnummerförsedda uppgifter får lämnas ut från de här aktuella registren om forskningspersonerna har samtyckt till den behandlingen. Kammarrätten i anser att 7 § inte handlar om ändamålet utan snarare behandling och utlämnande av personuppgifter och att det föreslagna lagrummet därför bör få en egen rubrik, nämligen Till- handahållande. När det gäller det utkast till lagrådsremiss som vissa remissinstanser under den fortsatt beredningen har beretts tillfälle att yttra sig över (se avsnitt 3), och som i sak överensstämmer med regeringens förslag, har Datainspektionen framfört att myndigheten fortfarande ifrågasätter lag- förslagets förenlighet med dataskyddsdirektivet när det gäller de före- slagna ändamålen för personuppgiftsbehandlingen samt att den före- Prop. 2012/13:163 slagna möjligheten att lämna ut de registrerades personnummer eller motsvarande identitetsbeteckning och löpnummer till andra myndigheter för att de ska kunna lämna ut ytterligare uppgifter till det aktuella forsk- ningsprojektet innebär en försämring av integritetsskyddet. Datainspek- tionen avstyrker bl.a. med hänsyn härtill förslaget. Övriga myndigheter och organ som har beretts tillfälle att yttra sig över utkastet har inte haft några invändningar mot förslaget. Skälen för regeringens förslag Som nämnts i avsnitt 4.2.1 brukar man i registerförfattningar dela upp ändamålen för personuppgiftsbehandlingen i primära och sekundära ändamål. Primära ändamål avser myndighetens eget behov av att behandla uppgifter. Sådana ändamål måste enligt dataskyddsdirektivet vara särskilda, uttryckligt angivna och berättigade. Det första primära ändamålet för behandlingen av personuppgifter enligt den föreslagna lagen bör vara att skapa underlag för olika forsk- ningsprojekt om vad arv och miljö betyder för uppkomsten och utveck- lingen av olika typer av sjukdomar och för människors hälsa i övrigt. Med arv avses alla slags ärftliga egenskaper. Med miljö avses alla omvärldsfaktorer som kan påverka människors hälsa, t.ex. kost, livsstil, förebyggande åtgärder och sjukdomsbehandling. I promemorians lagtext- förslag finns de två sistnämnda omvärldsfaktorerna intagna som exem- pel. och har dock uppfattat exemplifieringen som en precisering av begreppet miljö som de anser vara onödigt snäv. För att undvika missförstånd anser rege- ringen att nämnda exempel inte bör ingå i lagtexten. För att skapandet av ovan nämnda underlag ska kunna användas för avsedd forskning måste uppgifterna också kunna lämnas ut till sådan forskning. Ett andra primärt ändamål bör därför vara utlämnande av uppgifter för forskningsprojekt om vad arv och miljö betyder för upp- komsten och utvecklingen av olika typer av sjukdomar och för människors hälsa i övrigt. En förutsättning för ett sådant utlämnande bör dock vara att såväl forskningen som den tilltäckta behandlingen av personuppgifter har godkänts enligt etikprövningslagen. Ytterligare en förutsättning bör vara att utlämnandet endast avser personuppgifter som inte är direkt hänförliga till den enskilde. Personuppgifterna bör dock vid utlämnandet få vara försedda med en beteckning som hos den personuppgiftsansvarige är kopplad till den registrerades personnummer eller motsvarande identitetsbeteckning (s.k. löpnummer). Detta är nödvändigt för att den som uppgifterna lämnas till ska kunna uppdatera uppgifterna inom ramen för forskningsprojektet. Regeringen delar den uppfattning som framförts av flera remissinstanser, bl.a. , och läns landsting, att uttrycket avidentifierade uppgifter inte bör användas i lagtexten för sådana personuppgifter som inte är direkt hänförliga till den enskilde. I promemorian föreslås att uppgifter endast ska få lämnas till sådan forskning som bedrivs vid statliga universitet och högskolor. 2012/13:163 remissinstanser, bl.a. och Centrala etik- prövningsnämnden, har invänt mot detta. Regeringen delar uppfattningen att uppgifter även bör kunna lämnas ut till forskning som bedrivs av andra myndigheter än universitet och högskolor. Huruvida det bör finnas möjlighet att även lämna ut uppgifter till forskning som bedrivs av privata rättssubjekt bör lämpligen utredas av Register- forskningsutredningen (se avsnitt 4.4). En eventuell framtida ändring av ändamålet i detta avseende innebär dock naturligtvis att ett informerat samtycke från den registrerade kommer att behöva inhämtas innan utlämnande kan ske för det nya ändamålet. Justitiekanslern, och läns landsting har ifråga- satt om de i lagförslaget angivna ändamålen för de aktuella registren är tillräckligt precisa för att uppfylla kraven i dataskyddsdirektivet. Som framgår av avsnitt 5.1. har riksdag och regering i ett flertal författnings- ärenden gjort bedömningen att forskning är ett tillräckligt preciserat ändamål enligt dataskyddsdirektivet. De föreslagna ändamålen är dock mer preciserade än så, eftersom de avser att skapa underlag för och lämna ut uppgifter till en viss närmare angiven typ av forskning, nämligen forskning om vad arv och miljö betyder för uppkomsten och utvecklingen av olika sjukdomar och för människors hälsa i övrigt. Mot denna bakgrund delar inte regeringen dessa remissinstansers tvekan. Andra remissinstanser, bl.a. och har ansett att de förslagna ändamålen i stället är för snävt avgränsade och att lagen bör reglera personuppgiftsbehandling även för andra ändamål. och ifråga- sätter vidare om inte lagen, även om den föreslås ha en begränsad giltig- hetstid i avvaktan på ett mera generellt förslag, med bl.a. dess strama reglering av ändamål och utlämnande, kan innebära att vissa frågor låses och att det kan bli svårt att frångå den lösning som beslutas. Som remissinstanserna påpekar är det fråga om en tillfällig lag. Att regeringen väljer att föreslå en lag med primära ändamål som är begrän- sade till en viss typ av forskning ska, som nämnts i avsnitt 5.1 inte tas till intäkt för att register som byggs upp för andra forskningsändamål än som anges i den föreslagna lagen inte skulle vara tillåtna. Med hänsyn till att det är fråga om en tillfällig lag som införs i avvaktan på ett pågående utredningsarbete (se avsnitt 4.4) anser regeringen vidare att det finns skäl att avgränsa lagens tillämpningsområde på ett tydligt sätt. På mot- svarande sätt som när det gäller den tidsbegränsade lagen (2012:741) om behandling av personuppgifter vid utvärdering, anser regeringen vidare att en tillfällig reglering inte utgör något hinder mot att den framtida regleringen, som kommer att baseras på nu pågående utredningsarbete, utformas på ett annat sätt. Sekundära ändamål avser myndighetens utlämnande av personuppgifter för att tillgodose andras behov. Ett sekundärt ändamål i den nu föreslagna lagen bör vara granskning av nu aktuell forskning. Granskning av forskning kan genomföras genom att uppgifterna i registret används i nya forskningsprojekt. Granskning av forskning kan också genomföras av en högskola under en utredning om misstanke om oredlighet i forskning. Högskolan får under en sådan utredning hämta in ett yttrande från expertgruppen för oredlighet i forskning hos , se 1 kap. 16 § högskoleförordningen (1993:100). Personuppgifter bör få lämnas ut till en utredning av oredlighet i forskning om vad arv och miljö betyder för uppkomsten och utvecklingen av olika typer av sjukdomar och för människors hälsa i övrigt, samt för att ett yttrande i samband med en sådan utredning ska kunna lämnas. Även då uppgifter lämnas ut för sådana ändamål bör endast uppgifter som inte är hänförliga till den enskilde få lämnas ut. Uppgifterna bör dock få förses med en beteckning (s.k. löpnummer) som hos den personuppgiftsansvarige kan kopplas till den registrerades personnummer. Cancerfonden har efterfrågat preciseringar av hur uppgifter från de aktuella registren som lämnats ut till ett forskningsprojekt ska kunna sambearbetas med uppgifter som inom ramen för forskningsprojektet ska inhämtas från t.ex. ett hälsodataregister, om uppgifterna från nu aktuella register enbart ska få lämnas ut i avidentifierad form. Regeringen anser att regleringen bör utformas så att den inte hindrar sambearbetning av registeruppgifter inom ramen för ett forskningsprojekt som godkänts enligt etikprövningslagen. Det bör därför vara möjligt för ett universitet eller högskola att lämna ut löpnummer och personnummer (s.k. kod- nyckel) till en annan registerförande myndighet om det är nödvändigt för att den myndigheten ska kunna lämna ut uppgifter om samma personer till ett etikgodkänt forskningsprojekt. Datainspektionen har i sitt yttrande under den fortsatt beredningen (se avsnitt 3) invänt att en sådan möjlighet till utlämnande av kodnyckel innebär en försämring av integritetsskyddet. Datainspektionen anser att ett sådant utlämnande gör att det blir omöjligt för de registrerade att överblicka vilka uppgifter om dem som efter en etikprövning kan komma att behandlas på grund av deras deltagande i ett register enligt den före- slagna lagen. Regeringen konstaterar att gällande regelverk innebär att forskning som godkänts av en etikprövningsnämnd kan genomföras utan att de registrerade har någon vetskap om att uppgifter som finns om dem i t.ex. ett hälsodataregister eller kvalitetsregister behandlas för forsk- ningsändamål. Den som överväger att samtycka till att lämna uppgifter till ett register enligt den nu föreslagna lagen kommer att informeras om att en s.k. kodnyckel kan komma att lämnas ut till andra myndigheter för det fall en etikprövningsnämnd godkänner att uppgifter inom ramen för en viss forskning inhämtas från såväl ett register enligt den nu föreslagna lagen som från andra register som förs av myndigheter (se avsnitt 5.7.1). Regeringen anser med hänsyn härtill inte att den ordning som föreslås innebär någon försämring av integritetsskyddet för de registrerade. För att undvika konflikter med eventuell annan lagstiftning som inne- bär en uppgiftsskyldighet bör uppgifter också få lämnas ut om det finns en skyldighet enligt lag att göra det. En sådan uppgiftsskyldighet är t.ex. offentlighetsprincipen, se vidare avsnitt 6 om sekretess. För tydlighets skull bör det också anges att personuppgifter som har registrerats enligt lagen alltid får lämnas ut till den registrerade själv. 2012/13:163 Med hänsyn till att den föreslagna lagen avser behandling av särskilt känsliga uppgifter, bl.a. uppgifter om resultatet av genetiska undersök- ningar, och då det endast är fråga om tillfällig lag, bör personuppgifter inte få behandlas för några andra ändamål än som uttryckligen angetts i lagen. Det bör alltså inte vara möjligt att med tillämpning av 9 § första stycket d personuppgiftslagen behandla personuppgifter för ett ändamål som inte är oförenligt med det för vilket uppgifterna samlats in. Det bör inte heller vara möjligt att tillämpa bestämmelsen i 9 § andra stycket personuppgiftslagen om att behandling av personuppgifter för historiska, statistiska eller vetenskapliga ändamål inte ska anses som oförenlig med de ändamål för vilka uppgifterna samlades in. Med hänsyn till den före- slagna lagens tillfälliga karaktär och till att den permanenta reglering som kommer att ersätta den kan komma att vara utformad på ett annat sätt när det gäller finalitetsprincipen bör det dock, i avvaktan på ett förnyat ställ- ningstagande i nu aktuella frågor i samband med ett sådant lagstiftnings- arbete, finnas en möjlighet att bevara personuppgifter för historiska, statistiska eller vetenskapliga ändamål. Som framgår av avsnitt 5.6 före- slår regeringen att personuppgifter som inte längre behövs för de primära ändamålen ska gallras, men att det ska vara möjligt för regeringen eller den myndighet som regeringen bestämmer att meddela föreskrifter om eller i ett enskilt fall besluta att personuppgifter får bevaras för historiska, statistiska eller vetenskapliga ändamål. Som Lagrådet har påpekat bör ett sådant bevarande anges som ett av de ändamål för vilka personuppgifter får behandlas enligt lagen. Det är dock bara själva bevarandet för sådana ändamål som tillåts. För det fall uppgifter lämnas över till en arkivmyn- dighet får arkivmyndigheten under lagens giltighetstid bara lämna ut uppgifter för sådana ändamål som i övrigt anges i detta avsnitt. Regeringens förslag: I ett register enligt den föreslagna lagen får det i fråga om personuppgifter bara finnas uppgifter som den registrerade själv har lämnat i syfte att de ska ingå i registret, uppgifter om eller i form av upptagningar som den registrerade har medverkat till i syfte att de ska ingå i registret, uppgifter om undersökningar som den registrerade har genomgått isyfte att resultatet ska ingå i registret,