sou · H2B345 · 2014-06-25 00:00:00 — Jag menar dock att ett sådant förfarande är att se som ett led i forskningsverksamheten och att den sekretessbrytande bestämmelsen för forskningsändamål således är tillämplig. För statistikansvariga myndigheter gäller vidare särskilda regler för personuppgiftsbehandling. Enligt 14 § lagen om den officiella statistiken får en statistikansvarig myndighet behandla personupp- gifter för framställning av statistik. Behandling av personuppgifter får enligt andra stycket i samma bestämmelse omfatta uppgift om personnummer. Behandling av känsliga personuppgifter enligt 13 § PUL och om lagöverträdelser m.m. enligt 21 § PUL får behandlas om det följer av föreskrifter som regeringen meddelar. Bestämmelserna om behandling av känsliga personuppgifter gäller endast vid framställning av statistik. Den behandling som myndig- heterna utför för att sambearbeta uppgifter ur sina register med uppgifter från andra myndigheters register för att bistå forskare är emellertid inte en del av myndighetens statistikverksamhet. Även på den punkten har mot den bakgrunden lagligheten ifrågasatts. Utlämnanden och behandlingar för att möjliggöra sambearbet- ning sker rutinmässigt och är ofta en förutsättning för register- baserad forskning. Det är därför av största vikt att det inte råder någon tveksamhet om att de har lagligt stöd. Enligt min mening är det också fallet. Det är rimligt att se den behandling som sker när en myndighet överlämnar uppgifterna till en annan myndighet för sambearbetning för en forskningshuvudmans räkning som ett led i den forskningsverksamhet som enligt 9 § och 10 § PUL är tillåten. När det gäller behandling av känsliga personuppgifter gäller enligt PUL som huvudregel att behandlingen ska vara godkänd av en etik- prövningsnämnd. Av forskningshuvudmannens ansökan till nämn- den framgår det vanligtvis om och i så fall vilka registeruppgifter som ska sambearbetas med uppgifter från olika myndigheter. Etikprövningsnämndernas godkännande av personuppgiftsbehand- lingen måste anses gälla även de utlämnande myndigheternas be- handling av personuppgifterna. De utlämnande myndigheterna har således stöd för sin personuppgiftsbehandling genom etikpröv- ningsnämndens beslut. Stöd för behandlingen av personuppgifter för att möjliggöra sam- bearbetning av personuppgifter från olika myndigheter kan också hämtas från den allmänna principen om att myndigheter är skyldiga att bistå varandra i att fullgöra sina uppgifter. Bakgrund, nuläge och utmaningar myndigheters allmänna samverkansskyldighet kommer till uttryck i 6 § förvaltningslagen (1986:223). Där anges att varje myndighet ska lämna andra myndigheter hjälp inom ramen för den egna verksam- heten. I regeringens senaste forskningsproposition (prop. 2012/13:30) konstateras att sambearbetning av data i princip skulle kunna ske genom en teknologi som möjliggör att uppgifter hanteras i befint- liga register och att bearbetningen av dem sker när analysen genom- förs.69 I det delbetänkande jag som utredare av den officiella statisti- ken avlämnade om Registerdata för forskning diskuterade jag frågan om tillgängliggörande av data som lagras distribuerat. Jag konstaterade att heterogeniteten i de många datakällorna utesluter en centraliserad uppgiftshantering där alla data flyttas till en och samma fysiska miljö. Den komplexa bild som framtidens register- bestånd uppvisar kräver en distribuerad lösning, det vill säga en struk- tur som liksom innebär att uppgifterna finns hos många olika huvudmän. Frågan är då om man kan tänka sig en teknisk lösning av det slag som antyds i regeringens forskningsproposition. SCB:s MONA-system innebär att uppgifter hämtas ur ett datalager som finns hos SCB och att de, efter inloggning, av en forskare kan bearbetas via en fjärranslutning. Uppgifterna skickas alltså aldrig fysiskt till användaren. När SCB-uppgifter ska sambearbetas med uppgifter från andra myndigheter, eller med uppgifter som forskare själva samlat in, måste dessa emellertid fysiskt överlämnas till SCB, som därefter sambearbetar uppgifterna och genom ställer dem till forskarens förfogande. Andra myndigheter skickar för sam- bearbetningen kopior på sina register till SCB. Systemet kan således betecknas som en centraliserad datalagerlösning. , och sannolikt även de ansvariga för hälso- och sjukvårdens kvalitetsregister, anser sig, som framgått, av juridiska och andra skäl förhindrade att överföra fullständiga kopior av sina personregister till SCB. Ett alternativ är att hos skapa ett liknande system och att undersöka möjligheterna att dessa system ska kunna kommunicera med varandra. Vad det kan komma att betyda för sambearbetning av uppgifter från och övriga myndigheter är för tidigt att säga något om. 2012/13:30 s. 149-50. Bakgrund, nuläge och utmaningar Som alternativ till en centraliserad datalagerlösning av MONA- typ har diskuterats system där datalager hos flera dataförvaltare kan kopplas samman utan att data behöver flyttas eller kopior utväxlas mellan myndigheterna. Inom VR:s DISC utvecklades och testades –2009 en sådan modell (Infrastructure for Research, CODIR). Systemet innebar att person- identifierade uppgifter inte lämnade registerhållaren, att sambearbet- ningen med användning av krypterade nycklar gjordes i en server och att servern fanns i en säker miljö. Den säkra miljö som i ett så- dant system hämtar uppgifter från myndigheter och sambearbetar dem måste vara en gemensam resurs för alla berörda registerhållare, en miljö där de vet att uppgifter hanteras på ett säkert sätt. Man talar om en federationsserver (trusted location). Ingen av de register- hållare som levererar uppgifter behöver i ett sådant system hantera uppgifter från andra registerhållare. Forskaren får tillgång till anony- miserade uppgifter och kan analysera dessa i en miljö som liknar dagens MONA-system. Denna typ av system brukar kallas federe- rade, bland annat på grund av den jämställda ställning systemets medlemmar (registerhållare, dataägare) har i förhållande till varandra. För att uppgifter ska lämnas ut genom en federationsserver krävs liksom beslut av var och en av de utlämnande myndigheterna. Ett system liknande för myndighetsövergripande in- formationsutbyte och fjärråtkomst till data har byggts vid . har det testats för forskning på hälso- och sjuk- vårdens kvalitetsregister för prostatacancer. Uppgifter från (NPCR) har kombinerats med data från och i den så kallade PC BASe. Efter prövning av den grupp som ansvarar för registret kan forskaren få tillgång till data via fjärråtkomst. Inom ramen för ett internationellt samarbete om autismforsk- ning har ett sådant federerat system, som är särskilt anpassat för forskningsområdet, utvecklats och prövats. Förutom deltar i samarbetet , , , och . Den programvara som har skapats inom ramen för projektet kallas and Analysis of Research data, ViPAR. Systemet fungerar på det sätt som ovan beskrivits. För att möjliggöra sambearbetning måste uppgifterna i de nationella databaserna harmoniseras enligt en överenskommen mall.70 Denna harmonisering utförs lokalt av respektive medlem och kan vara en tidsödande process. 70 , , , RW and iCARE, ViPAR: a software platform for the Virtual Pooling and Analysis of , opubl. Bakgrund, nuläge och utmaningar ViPAR har utvecklats i , som har ett federerat system i bruk, BioGrid . 71 Systemet har för när- varande 26 medlemsorganisationer och data kan hämtas från 18 sjuk- hus och hälsocentraler. I systemet används fjärråtkomst till med- lemmarnas databaser för att hämta hem uppgifter till ett lokalt förvarat forskningsregister där uppgifter har sambearbetats för ett specifikt forskningsändamål. har under beslutat avsätta till en forskargrupp för att bygga ett system med federerade data- baser. Tyngdpunkten i arbetet kommer att ligga inom fältet säker- hetslösningar i federationsservern.72 I ett system där heterogena data ska sambearbetas krävs att det förberedande harmoniseringsarbetet också ska kunna utföras på distans. Man skulle hos federationsservern behöva kunna skapa sär- skilda forskningsregister för specifika forskningsprojekt eller forsk- ningsdatabaser för flera framtida projekt. Hur lagringen och det övriga handhavandet av sådana förädlade databaser ska ske är en fråga som förutsätter såväl tekniska som juridiska och organisatoriska överväganden. Många har på ett principiellt plan anslutit sig till tanken på ett federerat system. Förhoppningen är att ett eller flera sådana system skulle kunna öka skyddet för personuppgifterna genom organisa- torisk samordning av regeltillämpning och en minskning av antalet kopior med personuppgifter. Det skulle dessutom för många forskare kunna öka tillgängligheten till och sänka priset på bra forsknings- data. Utmaningen för svensk del är att finna en samordnande aktör som kan specificera uppgiftsleverantörernas och uppgiftsanvändar- nas, det vill säga forskarnas, behov och formulera de kravspecifika- tioner i övrigt som krävs för ett sådant system. Även sedan en sådan aktör pekats ut återstår en lång process av teknisk utveckling och anpassning. Kraven på dokumentation och samordning av begrepp och uppgifter kommer att skärpas. Det måste också bedömas i vilken utsträckning ett federerat system kan ersätta forskningsdatabaser för till exempel longitudi- nella studier. Direkt kontakt med grunddata kan förbättra möjlig- heterna till snabb uppdatering av uppgifter, men systemet måste också erbjuda möjligheter att spara sådana uppgifter som är resultatet av Bakgrund, nuläge och utmaningar forskarens dataförädlande arbete och som går utöver sammankopp- lingen av de originaldata från olika källor. I Registerdata för forskning föreslog jag en ny myndighet för re- gisterforskning med detta som ett av sina uppdrag. Regeringen valde emellertid att inte föreslå en sådan myndighet utan har i stället, som jag redovisat ovan, lagt vissa uppgifter på VR. Till dem hör dock inte uppdraget att utveckla ny teknik för sambearbetning. Regeringen har i forskningspropositionen antytt att den avser att återkomma till denna fråga i särskild ordning.73 Något initiativ i det avseendet har dock ännu inte tagits. 8.3.4Skydd och säkerhet vid högskolorna och universiteten För att skydda personuppgifter, och särskilt känsliga personupp- gifter, ställs en rad krav på den som är personuppgiftsansvarig. När det gäller uppgifter som lämnas ut till forskning på universitet och högskolor är det forskningshuvudmännen, det vill säga eller högskolan, som är personuppgiftsansvarig och som har att leva upp till dessa krav. Det yttersta ansvaret för skydd och säkerhet åvilar därmed universitetens och högskolornas styrelser och kon- sistorier. I PUL finns bestämmelser om anmälningsskyldighet av behand- ling av personuppgifter som är helt eller delvis automatiserad. En sådan anmälan behöver emellertid inte göras om den personupp- giftsansvariga har utsett ett personuppgiftsombud. Ombudet ska då i stället föra en förteckning över de behandlingar som genomförs. Om personuppgiftsombud utses ska det anmälas till Data- inspektionen. Ett personuppgiftsombud är en person som har till uppgift att självständigt se till att den personuppgiftsansvarige behand- lar personuppgifter på ett lagligt och korrekt sätt och i enlighet med god sed. Personuppgiftsombudet ska påpeka fel och brister i verksamheten till den personuppgiftsansvarige (3 och 38 §§ PUL).75 Personuppgiftsombud finns vid alla universitet och vid fler- talet mindre högskolor.76 Vid de kontakter jag under utredningen har haft med universitet och högskolor har det emellertid fram- kommit att uppgiften som personuppgiftsombud ofta ska rymmas 2012/13:30 s. 150. 74Konsistoriet är benämningen på styrelserna vid och . 75Se avsnitt 5.3.4.12. 76Information från , Datainspektionen . Bakgrund, nuläge och utmaningar inom ramen för annan tjänstgöring och att den tid som avsatts för uppgiften är otillräcklig för att på ett tillfredsställande sätt kunna klara uppgiften.77 Situationen varierar från lärosäte till lärosäte, vilket är naturligt med hänsyn till att förutsättningarna varierar kraftigt. Det finns dock skäl att understryka det ansvar som styrelserna och konsistorierna har för skydd och säkerhet och för att funktionen som personuppgiftsombud kan av på ett tillfredsställande sätt. Styrelserna för statliga myndigheter, det gäller också universiteten och högskolorna, ska i årsredovisningen avge en försäkran om att de bedömer att den interna styrningen och kontrollen vid myndig- heten är betryggande (eller, om så är fallet, redovisa på vilka punkter det finns brister).78 För att kunna avge en sådan försäkran bör styrel- serna ha försäkrat sig om att personuppgiftsombudet har tillräckliga resurser för att klara sin uppgift och också få en lägesrapport från ombudet. När den statliga redovisade sin genomgång av integritetsskyddet inom olika samhällssektorer var forskning och statistik ett av de områden som analyserades. I sin huvudsakliga bedömning konstaterade kommittén att sekretessregler- na på forskningsområdet är svåröverskådliga och fragmentariska. De konkreta frågor som uppmärksammades gällde främst att etik- prövningen av forskning endast avser vissa uppgifter och att sekre- tesskyddet är oklart när forskning bedrivs av enskilda institutioner. Kommittén framhöll också att det inte finns några bestämmelser som generellt reglerar förutsättningarna för att lämna ut uppgifter från den forskningsrelaterade verksamheten.79 Etikprövningslagen har sedan analysen gjordes förändrats på några punkter, bland annat så att forskningsprojekt som använder känsliga personuppgifter ska ha etikgodkännande oavsett om forskningspersonerna lämnat sam- tycke eller inte. Som huvudregel gäller att när uppgifter som är skyddade av sek- retess, till exempel statistiksekretess, överlämnas från en myndighet till ett statligt universitet eller en statlig högskola, så följer sekretessen automatiskt med.80 Det kan möjligen råda viss osäkerhet om vad som gäller när forskaren använder andra källor för sina uppgifter. 77Bland annat arrangerades inom utredningens ram ett seminarium på Utbildningsdeparte- mentet med deltagande av ett antal företrädare för universitet, Myndigheten för samhälls- skydd och beredskap, Datainspektionen m.fl. . 78Förordning (2000:605) om årsredovisning och budgetunderlag. föreskrifter och allmänna råd. 79SOU 2007:22 I s. 347–365, II 303-330. 80Se avsnitt 5.6.3.1. Bakgrund, nuläge och utmaningar Det ska än en gång framhållas att inga läckor av uppgifter från forskningsmiljöer så vitt jag känner till har förekommit. Jag har tidigare redovisat att det finns en rad skäl som tillsammans kan för- klara varför så är fallet. Dit hör såväl de sekretessregler som gäller som de starka incitament som både universitet och högskolor och de enskilda forskarna har att förhindra att något ska läcka ut.81 Men det hindrar inte att ytterligare försiktighetsmått kan vara motiverade. Vissa uppgifter samlas in av forskare direkt från uppgiftsläm- narna (forskningspersonerna). Till universitetens och högskolornas skyldighet hör att informera uppgiftslämnare om vilka rättigheter de har. Datainspektionen har som nämnts genomfört en tillsyn av ett antal universitet och högskolor i detta avseende och kunnat konstatera ett antal brister. I många fall har universiteten och högskolorna inte tillräckligt tydligt, eller inte alls, informerat om vem som är personuppgiftsansvarig och om rätten att ansöka om information och att få rättelse.82 I regeringens senaste forskningsproposition83 konstaterades att det är angeläget att det kan skapas databasinfrastrukturer för bestämda, men relativt allmänt hållna, forskningsändamål. Sådana uppgifts- samlingar ska inom ramen för det allmänna ändamålet kunna använ- das av forskare i flera olika forskningsprojekt. Särskilt longitudi- nella studier, som kan belysa utvecklingen av hälsa, sjukdomar och andra viktiga samhällsförhållanden, skulle vara betjänta av sådana register. Dock råder enligt regeringen vissa oklarheter när det gäller författningsregleringen av sådana databaser. Det är bakgrunden till att frågan tagits upp i direktiven till denna utredning. Där konsta- teras att det är problematiskt för forskare att skapa register med personuppgifter som underlag för framtida forskning. Jag ska i detta avsnitt belysa de oklarheter som råder när det gäller den lagliga regleringen av infrastrukturregister. Därefter redo- visas skäl för att det ska kunna skapas infrastrukturer för forskning i form av forskningsdatabaser och varför sådana också kan behöva tillföras data från myndighetsregister. Jag kommer också att diskutera vad som ska förstås med särskilt ändamål enligt PUL. 81Se avsnitt 6.8. 82Datainspektionens beslut , dnr 1147--1165-2011. 2012/13:30 s. 149. Bakgrund, nuläge och utmaningar 8.4.1Det rättsliga läget är oklart I kapitel 5 har jag utförligt redovisat de rättsliga förutsättningarna för registerforskning i allmänhet. Här ska vissa regler som är rele- vanta i diskussionen om forskningsdatabaser lyftas fram. Enligt 9 § PUL får personuppgifter bara samlas in för särskilda, uttryckligt angivna och berättigade ändamål, de får inte behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in och inte fler personuppgifter får behandlas än som är nödvändigt med hänsyn till ändamålen med behandlingen. Enligt förarbetena kan en alltför allmänt hållen ändamålsangivelse inte god- tas, men hur pass detaljerad den ska vara för att uppfylla lagens krav är inte angivet. Det förutsätts avgöras av praxis. Personuppgifter får inte heller bevaras än vad som är nödvändigt med hänsyn till ändamålen med behandlingen. framhålls att behandling av personuppgifter för his- toriska, statistiska eller vetenskapliga ändamål inte ska anses som oförenlig med de ändamål för vilka uppgifterna samlades in. Upp- gifterna kan också bevaras för sådana ändamål, men inte längre än vad som behövs för de ändamålen. Datainspektionen har mot denna bakgrund i olika sammanhang kritiserat ändamålsangivelser som den har bedömt vara alltför all- männa, det vill säga inte så särskilda som PUL anger. Framtida forskning har ansetts vara ett sådant alltför allmänt ändamål.84 För forskning som använder sig av känsliga personuppgifter eller biologiskt material från människor krävs etikgodkännande. Ett sådant godkännande ska enligt 6 § etikprövningslagen avse ett visst projekt eller en del av ett projekt eller en på något liknande sätt bestämd forskning. Det framgår av förarbetena att den forskning som ska etikprövas måste vara avgränsad i någon mening. Några generella, principiella godkännanden till att under överskådlig fram- tid få utföra forskning på ett visst material, inom ett visst område eller liknande kan inte lämnas. Forskning får dessutom bara god- kännas om de risker som den kan medföra för forskningspersoners hälsa, säkerhet och personliga integritet uppvägs av dess vetenskap- liga värde. har med hänsyn till vad etik- prövningslagen säger konstaterat att det inte är möjligt att med stöd 84 Datainspektionens beslut , dnr 766-2011. Bakgrund, nuläge och utmaningar av etikprövningslagen behandla och godkänna forskningsdatabaser för framtida forskning.85 Ett etikgodkännande är emellertid inte nog för att forskning ska få utföras. Forskningen får heller inte strida mot någon annan för- fattning. När det blir fråga om utlämnande till forskningen av upp- gifter från olika register måste utlämnandet också prövas enligt OSL. Uppgifter om enskilds personliga och ekonomiska förhållanden skyddas som huvudregel av absolut sekretess hos en myndighets verksamhet för framställning av statistik. Även sådana uppgifter får emellertid utlämnas för forskningsändamål om det står klart att de kan röjas utan att den enskilde eller någon närstående till denne lider skada eller men. SCB avgjorde ett ärende som rör utlämnande av vissa inkomstuppgifter till Income Study (). är en organisation som grundades och i vilken har varit med från starten. Den samlar in och harmoniserar inkomstuppgifter från ett stort antal länder, främst europeiska, för att möjliggöra inter- nationella jämförelser av inkomstförhållanden och effekter av olika skatte- och transfereringssystem. Den kan härvidlag betraktas som en forskningsdatabas. Uppgifterna om har levererats av SCB och hämtats från dess undersökning om hushållens ekonomi. De senaste uppgifterna som levererades avser . av- slog SCB en ansökan om att lämna ut uppgifter avseende . I sitt avslag slår SCB fast att man inte anser sig kunna lämna ut uppgifter till något som är en databas snarare än ett specifikt forskningsprojekt. Beslutet hade inget att göra med att databasen i fråga finns utomlands. SCB framhåller att samma beslut skulle ha fattats om det hade gällt ett svenskt projekt.86 Eftersom uppgifter har lämnats ut måste ställningstagandet ses som en om- prövning i mer restriktiv riktning från SCB:s sida. SCB har tidigare själv medverkat och medverkar alltjämt till att bygga upp forskningsdatabaser, exempelvis Utvärdering Genom Upp- följning, UGU, som finns vid pedagogiska institutionen vid . Även inom SCB finns databaser av detta slag, till exempel de tidigare nämnda och . Det är osäkert vilka följder SCB:s nya ställningstagande kommer att få. 85CEPN beslut , dnr Ö 28-2010. 86Brev från SCB (avd. chef ) till , , , dnr 2013/0442. Bakgrund, nuläge och utmaningar Det är uppenbart, som regeringen har framhållit i utrednings- direktiven, att olika regler skapar en rad tolkningsproblem, inte minst vid byggandet av forskningsdatabaser. Jag kan dock konstatera att etikprövningsnämnderna, trots etik- prövningslagens begränsningar, i vissa fall har ansett sig oförhind- rade att godkänna projekt även med ganska breda ändamålsbeskriv- ningar, till exempel att analysera uppkomsten och utbredningen av en viss kategori av sjukdomar. Gränsdragningen är minst sagt oklar mellan vad som anses vara projekt eller på något liknande sätt be- stämd forskning och som därmed kan ges etikgodkännande respek- tive forskningsdatabaser som inte kan prövas enligt lagen. Det kan belysas med ett projekt som särskilt nämns i utredningsdirektiven och som har varit föremål för mycket debatt, nämligen LifeGene. Projektet är ett samarbete mellan flera universitet som leds av KI. Liksom i systerprojektet , lett av och , är syftet att samla in data från individer och följa dem för att få underlag att analysera sambanden mellan arv, miljö och hälsa. LifeGene avser att följa personer som är upp till och EpiHealth personer som är . De bägge projekten kompletterar således varandra. Projekten som sådana innebär inte någon forskning utan syftet är att skapa forsk- ningsdatabaser som kan användas i framtida forskningsprojekt. För de konkreta projekt till vilka forskare önskar få ut uppgifter från LifeGene och/eller EpiHealth krävs etiktillstånd, precis som för all annan forskning som använder sig av känsliga personuppgifter. Två olika etikprövningsnämnder, i och , ansåg sig, trots syftet att skapa forskningsdatabaser, oförhindrade att ge projekten etikgodkännanden. I LifeGenes fall fattades beslutet dock med ett förbehåll: att barn skulle exkluderas från prov- tagning. Detta beslut överklagades av KI till Centrala etikpröv- ningsnämnden, som i sin behandling av ärendet konstaterade att projektet inte kunde prövas enligt etikprövningslagen eftersom det handlade om en forskningsdatabas och inte om ett konkret projekt. ansåg sig därför förhindrad att pröva ansökan. Nämnden konstaterade att projektet i sin nuvarande utformning inte behöver godkännande av etikpröv- få genomföras och att godkännande av etik- Bakgrund, nuläge och utmaningar prövningsnämnd aktualiseras bara med avseende på sådan konkret forskning som kan komma att planeras i framtiden.87 Centrala etikprövningsnämndens beslut innebar således inte i sig något hinder för KI att fortsätta den insamling av uppgifter som man (med stöd av ett tidigare beslut i etikprövningsnämnden om en pilotverksam- het) redan hade påbörjat.