prop · H003163 · 2013-05-24 00:00:00 — Sådana avvikande bestämmelser finns bl.a. i särskilda s.k. registerförfattningar, t.ex. lagen (1998:543) om hälsodataregister och patientdatalagen (2008:355). Om det område som ska regleras genom särlagstiftningen omfattas av dataskyddskonventionens tillämpningsområde måste dock särlagstiftningen vara förenlig med konventionen. På motsvarande sätt måste särregleringen vara förenlig med dataskyddsdirektivet om sär- regleringen omfattas av dess tillämpningsområde. De områden som inte omfattas av dataskyddsdirektivet är dels sådana områden som inte om- fattas av den tidigare gemenskapsrätten, t.ex. brottsbekämpning, allmän säkerhet och landets försvar, dels behandling av personuppgifter som utförs av en fysisk person som ett led i verksamhet av rent privat natur eller som har samband med hans eller hennes hushåll. De ovan nämnda exemplen på registerlagar, lagen om hälsodataregister och patientdatalagen, omfattas av dataskyddsdirektivets tillämpnings- område. Dessa regleringar måste alltså vara förenliga med bl.a. artikel 6.1 i dataskyddsdirektivet som t.ex. stadgar att personuppgifter bara får samlas in för särskilda, uttryckligt angivna och berättigade ändamål samt att en uppgift inte får behandlas för något ändamål som är oförenligt med det ändamål för vilket den samlades in (jfr 9 § personuppgiftslagen). I registerförfattningar skiljer man ofta mellan primära och sekundära ändamål. De primära ändamålen avser myndighetens eget behov av att behandla personuppgifter medan de sekundära ändamålen avser myndig- hetens utlämnande av uppgifter för att tillgodose andras, myndigheters eller enskildas, behov. 4.2.2Regleringen som avser hälsodataregister Enligt lagen (1998:543) om hälsodataregister får central förvaltnings- myndighet inom hälso- och sjukvården utföra automatiserad behandling av personuppgifter i hälsodataregister (1 §). Uppgifter i ett sådant register får behandlas för ändamålen framställning av statistik, uppföljning, utvärdering och kvalitetssäkring av hälso- och sjukvård samt forskning och epidemiologiska undersökningar (3 §). Den som bedriver verksamhet inom hälso- och sjukvården ska enligt 4 § lämna uppgifter till ett hälsodataregister för de ändamål som anges i 3 §. Enligt 12 § får regeringen lämna föreskrifter bl.a. om 1. vilka myndigheter som får föra hälsodataregister, 2. begränsning i de i 3 § angivna ändamålen och 3. begränsningar av de uppgifter som ett hälso- dataregister får innehålla. I förarbetena till lagen om hälsodataregister anges att regeringen avser att vid utfärdandet av föreskrifter för varje särskilt hälsodataregister ta 2012/13:163 ställning till om ett register ska omfatta ett eller flera av ovan nämnda ändamål och om ändamålet ska preciseras ytterligare (prop. 1997/98:108 s. 48). Regeringen har utfärdat flera förordningar om hälsodataregister. I vissa av dessa förordningar har ändamålet för behandlingen preciserats. Ett sådant exempel är förordningen (2001:709) om cancerregister hos Social- styrelsen. Enligt den förordningen får personuppgifter i registret behand- las för framställning av statistik, uppföljning och utvärdering av insatser för att förebygga cancersjuklighet, utvärdering av hälsokontroller samt forskning och epidemiologiska undersökningar inom cancerområdet. Det finns även tre förordningar där ändamålet forskning och epide- miologiska undersökningar inte har preciserats ytterligare. Det är för- ordningen (2001:707) om patientregister hos , förord- ningen (2006:94) om register hos över insatser inom den kommunala hälso- och sjukvården, och förordningen (2008:194) om tandhälsoregister hos . Som nämnts i avsnitt 4.1 samlas uppgifter i hälsodataregister in utan den enskildes samtycke genom att myndigheter åläggs en skyldighet att lämna uppgifter. Som exempel kan förordningen om patientregister nämnas. Enligt den förordningen ska den som bedriver verksamhet inom hälso- och sjukvården lämna uppgifter om sådana patienter som vårdats inom den slutna hälso- och sjukvården eller behandlats av läkare inom den öppna vården som inte är primärvård, dvs. patienter som har lagts in på sjukhus eller som har fått specialistvård. De uppgifter som ska lämnas och registreras avseende dessa patienter är personnummer, kön, födelse- år, bosättningsort, vårdenhet, diagnoser, åtgärder, yttre orsaker till sjukdom eller skada, vårdkostnader, grund för psykiatrisk tvångsvård, tidpunkter för åtgärder och händelser, in- och utskrivningssätt och planerad vård. Vidare ska () lämna uppgifter om folkbokföringsort, fastighetskoordinater, födelsehemort eller födelse- ort, medborgarskap, civilstånd, inflyttning från och utflyttning till utlandet, personnummerförändringar och dödsdatum. Personuppgifter, bosättningsort och sådana uppgifter som lämnas av SCB får dock inte behandlas om det är fråga om vårdkontakter som rör aborter (46 §§). Nationella och regionala kvalitetsregister regleras i 7 kap. patient- datalagen (2008:355). Dessa register ska möjliggöra jämförelse inom hälso- och sjukvården på nationell eller regional nivå. Bestämmelserna gäller för sådana nationella och regionala kvalitetsregister i vilka person- uppgifter samlas in från flera vårdgivare (1 §). Som nämnts i avsnitt 4.1 har den enskilde möjlighet att motsätta sig att uppgifter om honom eller henne behandlas i registret. Om så sker ska uppgifterna om den enskilde utplånas ur registret (2 §). I 4 § regleras det primära ändamålet för behandlingen av personupp- gifter. Detta ändamål är att systematiskt och fortlöpande utveckla och säkra vårdens kvalitet. De sekundära ändamålen för behandlingen regleras i 5 §. ändamål är 1. framställning av statistik, 2. forskning inom hälso- och sjukvården och 3. utlämnande till dem som ska använda uppgifterna för Prop. 2012/13:163 de ändamål som avses i 4 § och 5 § 1 och 2. Uppgifter får vidare enligt 5 § 4 lämnas ut för fullgörande av någon annan uppgiftsskyldighet som följer av lag eller förordning än den som anges i 6 kap. 5 § offentlighets- och sekretesslagen (2009:400, OSL). Enligt nämnda bestämmelse i OSL är en myndighet skyldig att på begäran av en annan myndighet lämna de uppgifter som myndigheten förfogar över, om det inte finns hinder på grund av sekretess eller arbetets behöriga gång. Denna bestämmelse, som brukar anses utgöra en precisering av den allmänna samverkans- skyldigheten mellan myndigheter som gäller enligt 6 § förvaltningslagen (1986:223), är alltså inte tillämplig på uppgifter i nationella eller regionala kvalitetsregister. Enligt 7 kap. 6 § patientdatalagen får personuppgifter inte behandlas för några andra ändamål än de som anges i samma kapitel 4 och 5 §§. Bestämmelsen innebär att finalitetsprincipen i 9 § d personuppgiftslagen inte är tillämplig på uppgifter i registret. Personuppgifter får således inte behandlas för något annat ändamål än som anges i 4 och 5 §§ även om det nya ändamålet inte skulle vara oförenligt med det primära ändamålet i 4 §. I lagen (2002:297) om biobanker i hälso- och sjukvården m.m., ofta kallad biobankslagen, regleras hur humanbiologiskt material får samlas in, förvaras och användas för vissa ändamål. Med biobank avses biologiskt material från en eller flera människor som samlas och bevaras tills vidare eller för en bestämd tid och vars ursprung kan härledas till den eller de människor, dvs. levande eller avlidna personer eller , från vilka materialet härrör (1 kap. 2 §). Lagen är tillämplig på en biobank som inrättats i i en vård- givares hälso- och sjukvårdsverksamhet, oavsett var materialet i bio- banken förvaras. Lagen är också tillämplig på vävnadsprover som lämnats ut från sådana biobanker för att förvaras och användas hos en annan vårdgivare, en enhet för forskning eller diagnostik, en offentlig forskningsinstitution, ett läkemedelsbolag eller en annan juridisk person under förutsättning att vävnadsprovet även efter utlämnandet kan härledas till den eller de människor från vilka de härrör. Lagen ska i tillämpliga delar gälla för vävnadsprover som tas och samlas in för transplantationsändamål enligt lagen (1995:831) om transplantation m.m. Lagen är dock inte tillämplig på prover som rutinmässigt tas i vården för analys och som uteslutande är avsedda som underlag för diagnos och löpande vård och behandling av provgivaren och som inte sparas (1 kap. 3 §). Förutom för vård och behandling och andra medicinska ändamål i en vårdgivares verksamhet får en biobank användas endast för ändamål som avser kvalitetssäkring, utbildning, forskning, klinisk prövning, utveck- lingsarbete eller annan därmed jämförlig verksamhet (2 kap. 2 §). Om avsikten är att en biobank ska användas för ändamål som avser forskning eller klinisk prövning får beslut att inrätta biobanken fattas först efter prövning och godkännande av en (2 kap. 3 §). 2012/13:163 I biobankslagen finns det bestämmelser om information och samtycke till insamling, bevarande och användning av vävnadsprover (3 kap.). Om vävnadsprover lämnas ut ska de, om annat inte särskilt beslutas, vara avidentifierade eller kodade (4 kap. 4 §). I biobankslagen finns även bestämmelser om en särskild biobank (PKU-biobanken) med prover från nyfödda barn (5 kap. 13 §§) samt om ett särskilt register för screening av prover från nyfödda barn för vissa ämnesomsättningsrubbningar (, 5 kap. 47 §§). Om ett barns vårdnadshavare har lämnat ett informerat samtycke till att vävnadsprov tas på barnet för att lämnas till biobanken respektive att uppgifter om modern och barnet lämnas till registret är vårdgivaren skyldig att lämna provet respektive uppgifterna för analys och förvaring i biobanken respektive för registrering i registret. Vävnadsproverna i PKU-biobanken och uppgifterna i får bl.a. användas för klinisk forskning och utveckling (5 kap. 2 och 5 §§). 4.2.5 Lagen om behandling av personuppgifter vid politisk utvärdering Lagen (2012:741) om behandling av personuppgifter vid Institutet för arbetsmarknads- och utbildningspolitisk utvärdering (IFAU) innehåller bestämmelser om personuppgiftsbehandling i verksamhet vid institutet. Behandlingen av personuppgifter som är tillåten enligt lagen får utföras även om den registrerade motsätter sig behandlingen. inte om uppgifterna samlas in direkt från den enskilde. I sådana fall får uppgifterna endast behandlas om den enskilde lämnat sitt uttryckliga samtycke (2 §). Personuppgifter får enligt lagen behandlas om det behövs för att fullgöra institutets uppdrag att främja, stödja och genom forskning genomföra studier, uppföljningar och utvärderingar (5 §). gifter får även behandlas för att fullgöra ett utlämnande av uppgifter som sker i överensstämmelse med lag eller förordning. I övrigt gäller den s.k. finalitetsprincipen enligt 9 § första stycket d och andra stycket person- uppgiftslagen (6 §). IFAU får behandla känsliga personuppgifter som avslöjar etniskt ursprung eller medlemskap i fackförening eller som rör hälsa för sådana ändamål som anges i 5 §. Det erinras i lagen om att det följer av lagen (2003:460) om etikprövning av forskning som avser människor att forskning som innefattar behandling av bl.a. känsliga uppgifter måste etikprövas (7 §). Det får hos IFAU finnas samlingar av personuppgifter under förut- sättning att de inte direkt kan hänföras till en person. dock vara försedda med en beteckning som den myndighet där upp- gifterna kommer från kan hänföras till ett personnummer eller mot- svarande identitetsbeteckning (8 §). IFAU får även i sin verksamhet, genom att samla in uppgifter direkt från enskilda, inrätta samlingar av personuppgifter som är direkt hänförliga till den enskilde för vissa avgränsade studier, uppföljningar Sådana personuppgifter får även sambearbetas för att upprepa eller följa upp en tidigare genomförd studie, uppföljning eller Prop. 2012/13:163 utvärdering (2, 9 och 11 §§). I förarbetena till lagen anförde regeringen att en översyn av systemet för officiell statistik pågår i syfte att skapa ett system som är bättre anpassat för registerbaserad forskning. När denna översyn är slutförd kan det enligt regeringen finnas anledning att ompröva IFAU:s behov av att bygga upp egna samlingar av personuppgifter. Det kan även finnas skäl att ompröva behovet av en särskild registerlag för IFAU och att utvärdera hur den nya lagen har fungerat i både forsknings- och integritets- skyddshänseende. Regeringen gjorde därför bedömningen att lagen borde tidsbegränsas (prop. 2011/12:176 s. 60 f.). Lagen gäller till och med . Lagen (2003:460) om etikprövning av forskning som avser människor, ofta kallad etikprövningslagen, innehåller bestämmelser om etikprövning av forskning som avser människor och biologiskt material från människor. Den innehåller också bestämmelser om samtycke till sådan forskning. Syftet med lagen är att skydda den enskilda människan och respekten för människovärdet vid forskning (1 §). Lagen är tillämplig på forskning som ska utföras i bl.a. om forskningen innefattar behandling av känsliga personuppgifter enligt 13 § personuppgiftslagen, t.ex. uppgifter som rör hälsa, eller om forskningen innebär ett fysiskt ingrepp på en forskningsperson eller avser studier på biologiskt material som har tagits från en levande människa och kan härledas till denna människa (35 §§). Vid tillämpning av lagen avses med forskning vetenskapligt experimentellt eller teoretiskt arbete för att inhämta ny kunskap och utvecklingsarbete på vetenskaplig grund, dock inte sådant arbete som utförs inom ramen för högskoleutbildning på grundnivå eller på avancerad nivå (2 §). Forskning som omfattas av lagen får utföras bara om den har godkänts vid en etikprövning. Ett godkännande ska avse ett visst projekt eller en del av ett projekt eller en på något liknande sätt bestämd forskning. Forskningen får innefatta behandling av personuppgifter enligt 13 och 21 §§ personuppgiftslagen bara om behandlingen av uppgiften har godkänts vid etikprövningen (6 §). För etikprövningen finns det regionala nämnder och en central nämnd. i samarbete med universiteten i , , , och driver ett projekt som syftar till att skapa underlag för att kunna studera hur våra gener, vår omgivning och vårt sätt att leva påverkar vår hälsa. Detta projekt, LifeGene, är tänkt att omfatta upp emot en halv miljon svenskar. Projektet syftar till att skapa underlag för att kunna kartlägga orsaker bakom våra vanligaste folksjukdomar såsom allergier, depression, infektioner, hjärt- och kärlsjukdomar och cancer. Målet är att skapa nya verktyg för att förebygga, diagnostisera och behandla dessa sjukdomar. I projektet samlas uppgifter från ett stort antal individer från tidiga barnaår och upp i vuxen ålder. De sjukdomar som kommer att studeras i materialet är främst de stora folksjukdomarna, t.ex. allergier, depression, infektioner, hjärt- och kärlsjukdomar och cancer. Materialet utgör dessutom en resurs för att besvara frågor som vi inte fullt ut kan formulera , bl.a. frågor om uppkomst av tidigare okända sjukdomar eller orsakssamband. Deltagare lämnar sitt samtycke till att personuppgifter behandlas inom ramen för projektet vid i enlighet med den information om personuppgiftsbehandlingen som de har tagit del av och till att blod- och urinprov lagras i en biobank. Deltagare tillfrågas också om de samtycker till att uppgifter från deltagarnas medicinska journaler och data från såsom medicinska födelse- registret, tandvårdsregistret och cancerregistret förs in i projektet . Deltagarna får en informationsbroschyr som de förväntas ha läst igenom före första besöket på LifeGenes testcenter. Vid deltagarnas första besök på testcentret får deltagarna signera ett samtycke om deltagande i LifeGene. Alla personuppgifter som hanteras inom ramen för LifeGene behandlas således med deltagarnas uttryckliga samtycke. När en forskare inom ramen för ett forskningsprojekt vill använda material i LifeGenes register och biobank ansöker forskaren först till LifeGene om att få tillgång till materialet. Om LifeGene beviljar denna ansökan, ansöker forskaren därefter till en etikprövningsnämnd om etikprövning av den planerade forskningen. Först efter godkännande av en etikprövningsnämnd kan forskaren få ut relevanta personuppgifter ur LifeGenes register och biologiskt material ur biobanken. När det gäller behandling av personuppgifter inom LifeGene har i den informationsbroschyr som alla deltagare får ta del av framhållit följande. Personuppgifter i registret behandlas med tydliga säkerhetsrutiner för att bevara deltagarnas anonymitet. Alla direkt identifierande personuppgifter (som t.ex. namn, adress och person- nummer) hålls åtskilda från andra uppgifter i registret (som t.ex. enkätsvar och analyser av blodprov). Blod- och urinprover förses med löpnummer och går därmed inte att koppla till de direkt identifierande personuppgifterna för den enskilda forskaren. De forskningsprojekt som kommer att använda registerdata från LifeGene får endast tillgång till uppgifter och prover som är försedda med löpnummer. Resultat från forskningsstudier presenteras endast som statistik där uppgifter om enskilda personer inte går att spåra. Enskilda deltagare har rätt att få veta vilka uppgifter om honom eller henne som finns registrerade, varifrån uppgifterna har hämtats in och till vilka kategorier av mottagare som uppgifter har lämnats ut. Felaktiga uppgifter rättas och deltagare har rätt att när som helst avsäga sig fortsatt deltagande i LifeGene och begära att insamlade uppgifter och prover avidentifieras så att de kan spåras till enskilda individer. Projektets biobank har inrättats av universitet och inte i någon vårdgivares hälso- och sjukvårdsverksamhet. Därför är inte lagen om biobanker i hälso- och sjukvården m.m. tillämplig på verksamheten. har i betänkandet En ny biobankslag (SOU 2010:81) föreslagit en ny biobankslag som ska vara tillämplig också på biobanker i för identifierbara vävnadsprover i bl.a. forskning. Förslaget bereds i . har undanröjt en regional etikprövningsnämnds beslut att godkänna projektet (dnr Ö 28-2010). Centrala etikprövningsnämndens beslut motiverades med att projektet inte i sig innefattar någon forskning utan syftar till att bygga upp en infrastruktur för eventuell framtida forskning som inte är preciserad. Ett sådant projekt kan, enligt nämnden, inte prövas enligt lagen om etikprövning av forskning som avser människor. Med anledning av en numera upphävd reglering i personuppgifts- förordningen (1998:1191) om förhandskontroll av automatiserade be- handlingar av personuppgifter om genetiska anlag som har framkommit efter genetisk undersökning, beslutade Datainspektionen att inspektera behandlingen av personuppgifter i projektet . Inspektionen resulterade i ett beslut att förelägga att upphöra med insamlingen och övrig behandling av personuppgifter inom projektet (dnr 766-2011). I beslutet anför Datainspektionen följande. Enligt 9 § PuL [personuppgiftslagen] får personuppgifter bara samlas in för särskilda, uttryckligt angivna och berättigade ändamål. Ändamålen måste enligt förarbetena till PuL uppges redan när behandlingen påbörjas och får inte vara för allmänt hållna (se prop. 1997/98:44 s. 44 f.). Exakt hur detaljerade ändamålen måste vara framgår inte av PuL. Det får i avsaknad av närmare föreskrifter avgöras från fall till fall. Enligt Datainspektionen måste det krävas att personuppgifter som behandlas ska vara adekvata och relevanta i förhållandet till ändamålet med behandlingen och att inte fler uppgifter behandlas än som är nödvändigt med hänsyn till ändamålen. För att denna bedömning ska kunna göras krävs att ändamålet har en viss grad av precision. I aktuellt ärende är ändamålet framtida forskning där alla insamlade personuppgifter ska kunna användas för än så länge odefinierade ändamål. Framtida forskning är ett allt för opreciserat ändamål för att uppfylla kraven i 9 § PuL. Frågan är också om ett samtycke till ett opreciserat ändamål är förenligt med 10 och 15 §§ PuL. När det gäller behandling av s.k. känsliga personuppgifter ställs stora krav på den information som ska föregå samtycket. Bl.a. måste ändamålet med behandlingen vara tillräckligt preciserat i den information som lämnas. Det kravet kan inte anses uppfyllt i aktuellt ärende (jfr ovan). Således kan inte heller ett giltigt samtycke lämnas enligt 10 och 15 § PuL. Register som omfattar stora delar av befolkningen har reglerats i särskilda författningar (registerförfattningar) vid sidan av såväl den tidigare datalagen som PuL, eftersom det på grund av registrens omfattning och/eller känsliga innehåll ansetts rimligt att eller regeringen fått ta ställning till såväl inrättandet av registren som omfattningen. Utgångspunkten har således varit att myndighetsregister med ett stort antal registrerade och ett särskilt känsligt innehåll ska regleras i lag (se prop. 2012/13:163 1990/91:60 s. 50 och KU 1990/91:11 s. 11 samt prop. 1997/98:44 s. 41, 1999/2000:39 s. 78 och 2009/10:80 s. 183 f.). Central förvaltningsmyndighet inom hälso- och sjukvården får, enligt lagen (1998:543) om hälsodataregister, utföra automatiserad behandling av personuppgifter i hälsodataregister. Personuppgifter i hälso- dataregistren får användas för bl.a. forskning och epidemiologiska undersökningar. Regeringen beslutar, genom förordning, vilka hälsodataregister som ska finnas. Utmärkande för registren är att de är rikstäckande. Enligt Datainspektionens mening ska inte riks- täckande databaser för forskningsändamål byggas upp vid sidan av hälsodataregistren. I vart fall bör det inte ske utan att eller regeringen tagit ställning i frågan. Datainspektionen anser således att frågeställningen i ärendet och hanteringen av känsliga personuppgifter i databaser för framtida forskning är av så stor betydelse att den i så fall bör bli föremål för politisk beredning. Sammanfattningsvis utgör, enligt Datainspektionen, PuLs krav samt avsaknaden av särreglering hinder för att inom projektet skapa en databas av detta slag. Behandlingen av personuppgifter måste därför upphöra. har överklagat beslut. I den uppkomna situationen för projektet har finansiärer valt att avvakta med fortsatt finansiering av projektet. Detta har i sin tur lett till att har gjort ett uppehåll i projektet i avvaktan på ett förtydligande av rättsläget. I propositionen Ett lyft för forskning och innovation (prop. 2008/09:50) framhålls att registerhållningen över hela befolkningen och systemet med personnummer ger unika förutsättningar för att studera angelägna, tvärvetenskapliga frågor kring sambandet mellan samhällsförhållanden, ekonomi och hälsa. Vidare konstateras att har mycket goda förut- sättningar för ledande forskning genom dessa registerbaserade data, men att det finns en begränsad samordning av infrastruktur och data- baser och att dessa är underutnyttjade. (dir. 2011:32 och 2012:15, Fi 2011:05) har i sitt betänkande Registerdata för forskning (SOU 2012:36) lämnat vissa förslag om organisatoriska och tekniska åtgärder som kan underlätta registerbaserad forskning. Betänkandet bereds i . I propositionen Forskning och innovation (prop. 2012/13:30) har regeringen anfört att bör få i uppdrag att inrätta en funktion med uppgift att förbättra tillgängligheten till och underlätta användningen av registeruppgifter för forskningsändamål. Regeringen har vidare gett en särskild utredare i uppdrag att utreda förutsättningarna för registerbaserad forskning (dir. 2013:8). Utredningen har antagit namnet (U 2013:01). ren ska enligt direktiven lämna förslag i syfte att registeransvariga Prop. 2012/13:163 myndigheter i större utsträckning ska kunna lämna ut uppgifter för forskningsändamål med hänsyn tagen till den enskildes integritet, att sambearbetning av registeruppgifter för forskningsändamål ska underlättas samt att det ska vara möjligt att på ett integritetssäkert sätt samla in personuppgifter till register som förs för särskilda och uttryckligt angivna forskningsändamål samt till longitudinella studier som håller sig inom ramen för sådana ändamål.