sou · H2B345 · 2014-06-25 00:00:00 — Paragrafen reglerar utlämnande av direktåtkomst till uppgifter i . Med direktåtkomst avses att någon har direkt tillgång till någon annans register eller databaser och på egen hand kan söka efter information, dock utan att kunna påverka innehållet i registret eller databasen. I begreppet direktåtkomst ligger också att den som är ansvarig för registret eller databasen inte har någon kontroll över vilka uppgifter som mottagaren vid ett visst tillfälle tar del av. I bestämmelsen slås fast att utlämnande till annan från genom direktåtkomst inte får förekomma. Bestämmelsen utgör inte hinder för utlämnande av uppgifter på medium för automatiserad behandling, till exempel genom e-post, eller USB-minne. Bestämmelsen reglerar inte frågan om uppgifter med hänsyn till bestämmelser om sekre- tess får lämnas ut eller inte utan endast på vilket sätt uppgifter i registret får lämnas ut. Bestämmelsen behandlas i avsnitt 9.5.14.13. I paragrafen anges vilken information den enskilde ska ha fått ta del av innan han eller hon lämnar samtycke att registreras i . Enligt 4 § andra stycket får uppgifter om vävnadsprover i en biobank som börjar behandlas efter ikraftträdandet av denna lag inte registreras i utan att den som uppgifterna rör har samtyckt till registreringen. För att den som lämnar ett vävnadsprovprov ska kunna avgöra om och i så fall vilka integritetsrisker registreringen i biobanksregistret innebär och om han eller hon är villig att medverka är det viktigt att provgivaren garanteras tillräcklig information. I det fall den som lämnar provet är minderårig ska informationen ges till vårdnadshavarna. I 25 § personuppgiftslagen (1998:204) anges vilken information den personuppgiftsansvarige självmant ska lämna den registrerade vid insamling av personuppgifter. Enligt punkten c i nämnda para- graf ska informationen omfatta all övrig information som behövs för att den registrerade ska kunna ta tillvara sina rättigheter i samband med behandlingen. aktuell bestämmelse utgör en precisering av denna punkt. I bestämmelsen anges att informationen ska inne- hålla uppgift om att det är frivilligt att lämna uppgifter, för vilka ändamål behandling kan ske enligt 6 och 7 §§ och vilka uppgifter som får registreras enligt 8 §. Av informationen ska också framgå de sekretess- och säkerhetsbestämmelser som gäller för registret och vem som är personuppgiftsansvarig för registret. När det gäller upp- gift om hur länge uppgifterna sparas är det tillräckligt att informera om vilka regler som gäller för gallring och arkivering av uppgifter i registret. Den enskilde bör vidare upplysas om rätten till rättelse av uppgifterna, rätten till information enligt 26 § personuppgiftslagen, rätten till skadestånd, och rätten att få uppgifter utplånade. Upp- räkningen är inte uttömmande utan anger endast vilken informa- tion som den enskilde i vart fall ska få del av. Informationen bör lämpligen lämnas vid insamlandet av uppgifterna, det vill säga vanligt- vis i samband med att proverna tas inom hälso- och sjukvården. Bestämmelsen behandlas i avsnitt 9.5.14.15. Paragrafen innehåller bestämmelser om den registrerades rätt att få uppgifter utplånande. Av bestämmelsen följer att den registrerade har rätt att när som helst begära att uppgifter i registret om honom eller henne ska ut- plånas. Begäran om utplåning ska göras skriftligen hos Socialstyrel- sen, eller till den har hänvisat till, till exempel ett personuppgiftsbiträde. Begäran ska vara undertecknad av den re- gistrerade personligen. Det är således inte tillräckligt att begäran är undertecknad av ett ombud. Är den registrerade underårig ska be- gäran vara undertecknad av den registrerades vårdnadshavare. Det är den registrerade som har bevisbördan för att en begäran om har gjorts och det har skett. Uppgifterna ska utplånas efter en begäran inkommit. Bestämmelsen innebär att de registrerade personuppgif- terna ska förstöras så att de inte går att återskapa. Det räcker således inte att anonymisera uppgifterna eller att överföra den elektroniska informationen till pappershandlingar. All form av förstörande eller ändring av uppgifter utgör gallring i arkivlagens bemärkelse. Bestämmelsen om rätten till utplåning utgör en sådan bestämmelse om gallring som enligt 10 § tredje stycket arkivlagen tar över skyldigheten enligt den lagen att bevara allmänna handlingar. Om begäran om utplåning inte endast avser uppgifter i utan även innebär en begäran om att själva väv- nadsproverna ska förstöras bör det vara ansvar att vidarebefordra denna begäran till huvudmännen för biobankerna. Bestämmelsen behandlas i avsnitt 9.5.14.16. I paragrafen finns en bestämmelse om rättelse och skadestånd. Bestämmelserna om rättelse och skadestånd i personuppgifts- lagen (1998:204) gäller enligt sin lydelse endast vid överträdelse av den lagen. Genom denna paragraf görs personuppgiftslagens bestäm- melser tillämpliga även när personuppgifter behandlas i strid med denna lag. Bestämmelsen behandlas i avsnitt 9.5.14.18. Förutsättningar för registerbaserad forskning Beslut vid regeringssammanträde . Inom forskning som förutsätter tillgång till personanknutna register- uppgifter kan två samhälleliga intressen stå i konflikt med varandra, å ena sidan intresset av att bedriva forskning som ger upphov till ny viktig kunskap och å andra sidan intresset av att skydda den enskil- da individens integritet. Det är av stor vikt att regelverket tillgodo- ser den enskilda individens integritetsskydd för att bibehålla allmän- hetens förtroende för forskningen. Med detta som bakgrund ska en särskild utredare få i uppdrag att undersöka förutsättningarna för att bedriva s.k. registerbaserad forskning. Utredaren ska lämna författningsförslag och andra förslag i syfte registeransvariga myndigheter i större utsträckning ska kunna lämna ut uppgifter för forskningsändamål med hänsyn tagen till skyddet för den enskildes integritet, sambearbetning av registeruppgifter för forskningsändamål ska underlättas, och göra det möjligt att på ett integritetssäkert sätt samla in person- uppgifter till register som förs för särskilda och uttryckligt angivna forskningsändamål samt till longitudinella studier som håller sig inom ramen för sådana ändamål. undersöka om det befintliga sekretesskyddet för uppgifter som hanteras inom forskning är tillräckligt för att skydda den enskil- des integritet vid forskning. Vid utformningen av samtliga förslag ska utredaren göra en avväg- ning mellan forskningens behov av tillgång till uppgifter och den enskildes rätt till personlig integritet. Uppdraget ska redovisas . De svenska registren med personuppgifter utgör en potential för världsledande forskning. I propositionen Ett lyft för forskning och innovation (prop. 2008/09:50) framhölls att dessa registeruppgifter skulle kunna utnyttjas effektivare och mera samordnat och ge unika förutsättningar för att utföra angelägen tvärvetenskaplig forsk- ning. I dataskyddssammanhang används ofta begreppen register och databaser samt andra begrepp som avser avgränsade uppgiftssam- lingar. I det följande avses med register även databaser, elektroniska ärendehanteringssystem eller motsvarande samlingar av uppgifter och med registerbaserad forskning den forskning som innefattar behand- ling av uppgifter som forskare dels hämtat från uppgiftssamlingar hos myndigheter, dels själva samlat in genom olika mätningar eller direkt från enskilda. Författningsreglering av personuppgiftsbehandling för registerbaserad forskning Forskare som behandlar personuppgifter måste följa den lagstiftning som finns för sådan behandling. På unionsrättslig nivå regleras behandling av personuppgifter i och rådets direktiv /46/EG om skydd för en- skilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter, det s.k. dataskyddsdirekti- vet. I meddelandet Ett samlat grepp på skyddet av personuppgifter i Europeiska unionen (KOM/2010/0609) aviserade EU-kommis- sionen en strategi för en översyn av EU:s dataskyddsreglering. Inom EU bereds ett förslag till och rådets förordning om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (allmän uppgiftsskyddsförordning). De dataskyddsregler som antagits inom ramen för finns främst i den europeiska konventionen om skydd för enskilda vid automatisk databehandling av personuppgifter (CETS 108), den s.k. dataskyddskonventionen, och dess tilläggsprotokoll. Konven- tionen kompletteras av ett antal rekommendationer som har antagits av ministerkommittén om hur personuppgifter bör behandlas inom olika områden. har, i likhet med övriga medlemsstater i EU, anslutit sig till dataskyddskonventionen. har Europa- rådet inlett en översyn av denna konvention. Denna översyn pågår. På nationell nivå är de i detta sammanhang mest relevanta lagar- na personuppgiftslagen (1998:204, PUL), genom vilken dataskydds- direktivet har genomförts i svensk rätt, de s.k. registerförfattning- arna, offentlighets- och sekretesslagen (2009:400, OSL) och lagen (2003:460) om etikprövning av forskning som avser människor (etikprövningslagen). PUL innehåller grundläggande bestämmelser om bl.a. behandling av personuppgifter, personuppgiftsansvar, information till den regi- strerade, skadestånd och straff. Behandling av personuppgifter regleras också i ett stort antal re- gisterförfattningar som innehåller särregleringar på olika områden i förhållande till PUL, t.ex. patientdatalagen (2008:355). Sådana för- fattningar kan reglera behandling av personuppgifter i regelrätta re- gister, men de kan också reglera behandling av personuppgifter inom en viss verksamhet, i en databas, i ett eller flera ärendehanterings- system eller i löpande texter. Registerförfattningarna saknar en sinsemellan enhetlig struktur och begreppsbildning. En särskild ut- redare har därför fått i uppdrag att bl.a. utarbeta en generell modell för reglering av registerfrågor (dir. 2011:86). Registerförfattningar- na innehåller ofta bestämmelser om direktåtkomst och annat elek- troniskt utlämnande av uppgifter som påverkar hur eller om forskare kan få tillgång till uppgifter. De kan också innehålla bestämmelser om personuppgiftsansvar, information, samtycke och sambearbet- ning, som kan påverka möjligheten för forskare att få tillgång till uppgifter i syfte att göra t.ex. bortfallsanalyser. OSL innehåller sekretessbestämmelser och bestämmelser om bl.a. myndigheters och vissa andra organs handläggning vid registrering, utlämnande och övrig hantering av allmänna handlingar. I etikprövningslagen finns det bestämmelser om etikprövning av forskning som avser människor och biologiskt material från män- niskor. Den tillämpas på forskning som innefattar behandling av dels sådana uppgifter som i PUL betecknas som känsliga personupp- gifter, dvs. uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening samt personuppgifter som rör hälsa eller sexualliv (13 § PUL), dels uppgifter om lagöverträdelser m.m. (21 § PUL). Förutom bestäm- melser om godkännande av sådan forskning innehåller lagen bl.a. bestämmelser om utlämnande av personuppgifter, information och samtycke. Bland övriga lagar som i vissa sammanhang kan vara relevanta för registerbaserad forskning kan nämnas lagen (2001:99) om den officiella statistiken även om den inte i huvudsak reglerar använd- ningen av registeruppgifter för forskningsändamål. Den innehåller bl.a. bestämmelser om officiell statistik och viss annan statistik som tas fram hos en statistikansvarig myndighet. Ändamålsbestämmelser för behandling av personuppgifter Av 3 § PUL följer att såväl insamling som utlämnande av person- uppgifter utgör behandling av personuppgifter. Enligt artikel 6.1b i dataskyddsdirektivet och 9 § första stycket c PUL får personupp- gifter samlas in för särskilda, uttryckligt angivna och berättigade ändamål. I 9 § d PUL föreskrivs att personuppgifter inte får be- handlas för något ändamål som är oförenligt med det för vilket upp- gifterna samlades in (den s.k. finalitetsprincipen). En behandling av personuppgifter för historiska, statistiska eller vetenskapliga ändamål ska dock inte anses oförenlig med de ändamål för vilka uppgifterna ursprungligen samlades in (artikel 6.1b i dataskyddsdirektivet och 9 § andra stycket PUL). När det gäller hur ändamålen i en registerförfattning ska formule- ras har regeringen uttalat att syftet med ändamålen i en register- författning är att ange en yttersta ram inom vilken personuppgifter får behandlas och att det ligger i sakens natur att ändamålsbestäm- melser ofta måste formuleras tämligen generellt (prop. 1997/98:97 s. 121). Den närmare regleringen i PUL och etikprövningslagen Känsliga personuppgifter får enligt 19 § PUL behandlas för forsk- ningsändamål om behandlingen har godkänts enligt etikprövnings- lagen. Sådana personuppgifter får även behandlas för statistikända- mål om behandlingen är nödvändig av något av de skäl som anges i 10 § samma lag och om samhällsintresset av det statistikprojekt där behandlingen ingår klart väger över den risk för otillbörligt intrång i enskildas personliga integritet som behandlingen kan innebära. Om behandlingen har godkänts av en forskningsetisk kommitté ska de angivna förutsättningarna anses uppfyllda. Det är vidare förbjudet för andra än myndigheter att behandla personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihets- berövanden (21 § PUL). Även sådana uppgifter om lagöverträdelser m.m. får dock behandlas för forskningsändamål av andra än myn- digheter om behandlingen har godkänts enligt etikprövningslagen. Enligt 3 och 6 §§ etikprövningslagen får forskning som inne- fattar behandling av känsliga personuppgifter eller personuppgifter om lagöverträdelser m.m. bara utföras om forskningen har godkänts vid en etikprövning. I forskningen får dessutom behandling av de känsliga personuppgifterna bara ske om även själva behandlingen av personuppgifterna har godkänts vid etikprövningen. Ett godkännan- de av en etikprövningsansökan ska avse ett visst projekt, en del av projekt eller en på något liknande sätt bestämd forskning. Om det inte finns något sådant godkännande har forskaren alltså inte rätt att behandla sådana personuppgifter som avses i 13 eller 21 §§ PUL. I sådana fall är den myndighet som förfogar över uppgiften också förhindrad att lämna ut uppgifterna enligt 21 kap. 7 § OSL. Enligt sistnämnda bestämmelse gäller sekretess för en personuppgift om det kan antas att ett utlämnande skulle medföra att uppgiften efter ett utlämnande kommer att behandlas i strid med PUL. Utlämnande av uppgifter för forskningsändamål Registeruppgifter som ingår i allmänna handlingar omfattas av offentlighetsprincipen. Bestämmelser om allmänna handlingar finns i 2 kap. tryckfrihetsförordningen (TF). Skyldigheten att lämna ut en allmän handling omfattar inte bara s.k. konventionella handlingar, t.ex. pappershandlingar, och s.k. färdiga elektroniska handlingar utan även s.k. potentiella allmänna handlingar, dvs. sammanställningar av uppgifter ur en upptagning för automatiserad behandling. En sådan sammanställning utgör en allmän handling under förutsättning att den kan tas fram med rutinbetonade åtgärder (2 kap. 3 § andra stycket TF). En sammanställning av uppgifter ur en upptagning för automa- tiserad behandling som innehåller personuppgifter utgör inte en allmän handling om myndigheten enligt lag eller förordning saknar befogenhet att göra sammanställningen tillgänglig (2 kap. 3 § tredje stycket TF). Så kallade ändamålsbegränsningar och villkorade sök- förbud i registerförfattningar anses dock normalt inte begränsa hand- lingsbegreppet (prop. 2007/08:160 s. 69 och prop. 2009/10:85 s. 154 f.). Det gör däremot s.k. absoluta sökförbud, dvs. en bestämmelse som innebär att en myndighet under inga omständigheter får söka på en viss typ av uppgift. När en uppgift i en myndighets register begärs utlämnad av en annan enskild än den registrerade, ska myndigheten alltså först ta ställning till om uppgiften finns i en allmän handling. Om det kon- stateras att uppgiften finns i en allmän handling, ska myndigheten därefter pröva om uppgiften omfattas av sekretess. Om så är fallet kan uppgifterna eventuellt lämnas ut med stöd av någon sekretess- brytande bestämmelse (se t.ex. 10 kap. OSL). Någon allmän bestämmelse i OSL om utlämnande av uppgifter för forskningsändamål finns inte. I förarbetena till den tidigare sekretesslagen (1980:100), SekrL, diskuterades bl.a. utlämnande av uppgifter för forskningsändamål (prop. 1979/80:2 Del A s. 346). Det konstaterades då att om den efterfrågade uppgiften är hemlig enligt en sekretessbestämmelse som innehåller ett s.k. skaderekvisit torde skadeprövningen ofta kunna resultera i ett utlämnande av uppgiften. Det erinrades i detta sammanhang om att om mottagaren är en offentlig institution överförs sekretessen till institutionen (nu- varande 11 kap. 3 § OSL) samt att en enskild forskare kan åläggas tystnadsplikt med stöd av 14 kap. 9 § SekrL (nuvarande 10 kap. 14 § OSL). Vidare anfördes att forskningens behov kan tillgodoses enligt särskilda föreskrifter och att forskningen i vissa fall får till- gång till uppgifter med stöd av den s.k. generalklausulen (nuvaran- de 10 kap. 27 § OSL) eller efter dispens från regeringen enligt 14 kap. 8 § SekrL (nuvarande 10 kap. 6 § OSL). En myndighet är inte skyldig att i större utsträckning än vad som följer av lag lämna ut en upptagning för automatiserad behand- ling i annan form än utskrift (2 kap. 13 § TF). lämnas ut, finns det alltså normalt ingen skyldighet för myndig- heten att göra det elektroniskt. Om det föreligger hinder mot att lämna ut uppgifterna elektroniskt enligt en registerförfattning, får uppgifterna således endast lämnas ut på papper. Enligt 6 kap. 5 § OSL ska en myndighet på begäran av en annan myndighet lämna uppgift som den förfogar över, om inte uppgiften är sekretessbelagd eller det skulle hindra arbetets behöriga gång. Denna skyldighet är mer långtgående än skyldigheten att lämna ut allmänna handlingar till allmänheten enligt tryckfrihetsförordningen, eftersom skyldigheten enligt 6 kap. 5 § OSL omfattar varje uppgift en myndighet förfogar över, alltså inte bara uppgifter ur allmänna handlingar. Om det är fråga om en sekretessbelagd uppgift och en s.k. sekretessbrytande bestämmelse (3 kap. 1 § OSL) är tillämplig innebär den sekretessbrytande bestämmelsen i kombination med 6 kap. 5 § OSL att en myndighet är skyldig att lämna ut uppgiften till en myndighet som begär det. I vilken form uppgifterna kan läm- nas avgörs, om det är fråga om personuppgifter, av personuppgifts- regleringen. Det kan vidare vara så att registerförfattningen hos den myndighet som förfogar över uppgifterna är försedd med en uttömmande ändamålsreglering som inte möjliggör utlämnande för forskningsändamål. I sådana fall uppstår en normkonflikt mellan ändamålregleringen i registerförfattningen och uppgiftsskyldigheten enligt 6 kap. 5 § OSL (jfr SOU 2003:99 s. 231 f. och dir. 2011:86 s. 22). I 24 kap. OSL finns det bestämmelser om sekretess till skydd för enskild inom forskning och statistik. I s.k. longitudinella forsknings- projekt, dvs. mätningar av utvecklingen av en och samma företeelse, används ofta den officiella statistikens datamaterial. Som huvudregel gäller enligt 24 kap. 8 § OSL sekretess i sådan särskild verksamhet hos en myndighet som avser framställning av statistik för uppgift som avser en enskilds personliga eller ekonomiska förhållanden och som kan hänföras till den enskilde. Uppgift som behövs för forsknings- eller statistikändamål och uppgift som inte genom namn, annan identitetsbeteckning eller liknande förhållande är direkt hänförlig till den enskilde får dock lämnas ut, om det står klart att uppgiften kan röjas utan att den enskilde eller någon när- stående till denne lider skada eller men. Det kan i sammanhanget nämnas att regeringen i ett beslut efter sekretessprövning enligt 24 kap. 8 § OSL funnit att uppgifter om enskilda i ett myndighets- register som förs utan samtycke med stöd av bl.a. lagen om hälso- dataregister kan lämnas ut för genomförande av bortfallsanalys inom ramen för ett forskningsprojekt som godkänts vid etikprövning (dnr S2009/10484/FS). Om särskilt behov föreligger får en statistikansvarig myndighet lämna ut uppgifter som inte direkt kan hänföras till en enskild en- ligt 16 § lagen (2001:99) om den officiella statistiken. I samband med utlämnandet får myndigheten förse uppgifterna med en beteckning som hos den statistikansvariga myndigheten kan kopplas till person- nummer eller motsvarande för att göra det möjligt att senare kom- plettera uppgifterna (s.k. löpnummer). På så sätt kan en forskare återkommande under ett forskningsprojekt få uppdateringar av de registeruppgifter som har lämnats ut från en myndighet när nya uppgifter tillkommer i registren, utan att enskildas identitet röjs. Enligt förutsättningar för en databasinfrastruktur för forskning (11:2010) finns otydligheter i nuvarande regelverk då de två regelverken OSL och lagen om den officiella statistiken ska tillämpas tillsammans. Sambearbetning av uppgifter från myndigheters register För att kunna utnyttja den fulla potentialen i registeruppgifter vid forskning uppkommer ofta behov av sambearbetning av data från olika register. Vid sambearbetning måste uppgifter om samma per- son som hämtats från olika register kunna sammankopplas. I de fall samtliga registeruppgifter finns hos en och samma myndighet, t.ex. hos SCB, kan sambearbetningen ske redan på denna myndighet. Forskarna får då tillgång endast till oidentifierbara uppgifter. I andra fall kan registeruppgifterna finnas hos olika myndigheter. Dessa upp- gifter kan då inte vara helt oidentifierbara, eftersom sammankopp- lingen då omöjliggörs. Det uppstår därmed särskilda frågor om lagstiftningen kring individens integritetsskydd. Sambearbetning av registeruppgifter kan underlättas genom att det skapas nya databasinfrastrukturer för bestämda, men relativt all- mänt hållna, forskningsändamål. Sambearbetning av data kan också ske genom teknologi som möjliggör att data hanteras i befintliga register och att bearbetning av data enbart sker i samband med det aktuella analystillfället. Sambearbetning av data kan då genomföras utan att nya databasinfrastrukturer behöver skapas eller att data som redan finns i ett register behöver lagras även i andra register. Att ytterligare utveckla sådana tekniska möjligheter för att på ett resurseffektivt och praktiskt genomförbart sätt genomföra sam- bearbetning av data skulle innebära att den enskilde forskaren enbart skulle få tillgång till redan bearbetade och avkodade data. Stora sambearbetade register som lagras permanent borde därmed i många fall kunna avvecklas och skyddet för den enskildes inte- gritet kunna stärkas. I ett tilläggsdirektiv (dir. 2012:15) till (Fi 2011:05) gav regeringen utredaren i uppdrag att föreslå organi- satoriska och tekniska åtgärder som kan underlätta registerbaserad forskning och skydda och stärka individens integritet. Utredaren föreslog i ett delbetänkande, Registerdata för forskning (SOU 2012:36) bl.a. att en ny myndighet bör inrättas med uppgift att stödja och utveckla registerbaserad forskning. Den nya myndig- heten bör enligt utredaren bl.a. få ansvar för att upprätta ett register över befintliga register och att underlätta datahantering och fjärr- åtkomst till datauppgifter. I propositionen Forskning och innovation (2012/13:30) gjorde regeringen bedömningen att bör få i uppdrag att inrätta en funktion med uppgift att förbättra tillgängligheten till och underlätta användningen av registerupp- gifter för forskningsändamål och i budgetpropositionen (prop. 2012/13:1) anslås medel till myndigheten för inrättandet av en informations- och rådgivningsfunktion för registerbaserad forsk- ning.