sou · H2B345 · 2014-06-25 00:00:00 — Se avsnitt 5.6.3.6. Integritet och registerbaserad forskning Universiteten och högskolorna lägger därför i regel stor vikt vid att hantera personuppgifter på ett säkert sätt. Det kan dock i vissa fall finnas brister i hanteringen som motiverar ytterligare åtgärder för att stärka datasäkerheten vid universitet och högskolor. Forskare får dessutom i flertalet fall endast ut anonymiserade uppgifter från myndigheter. Den risk som återstår när anonymiserade uppgifter lämnas ut, oavsett om uppgifterna är avidentifierade eller kodade, är bakvägsidentifiering. Det innebär att man med hjälp av ett antal uppgifter om en individ kan lista ut vem det är. Även med tillgång till ganska få variabler, om det är rätt variabler, till exem- pel kön, födelseland och yrkestillhörighet, är det inte alltför kom- plicerat att identifiera åtminstone några individer i en population. I vissa celler, där alltså sådana variabler har kombinerats, kan det finnas bara en eller ett fåtal individer, till exempel en cell som består av kvinnliga advokater födda i . För det stora flertalet obser- vationer är det naturligtvis mer komplicerat än så, men man kan likväl inte blunda för denna risk. Möjligheterna till bakvägsidenti- fiering tycks dessutom öka med den tekniska utvecklingen. Det finns exempel på hur man genom så kallad data mining har kunnat sambearbeta anonyma uppgifter från olika publika register, upprät- tade och tillgängliggjorda av privata aktörer, och återidentifiera individerna.51 Det kan också finnas en risk att i ett totalregister med hjälp av några harmlösa variabler identifiera en person som är känd. Om det i registret också finns känsliga uppgifter kan de knytas till denna person, till exempel uppgifter om sjukdomar. Riskerna vid utlämnande av uppgifter till forskning har i olika sammanhang överhuvudtaget bedömts som små. I propositionen om den tidigare sekretesslagen konstaterades att man i allmänhet bör kunna lämna ut uppgifter till forskning utan risk för att skada eller men uppkommer.52 Frågan har också varit föremål för rättslig pröv- ning varvid risken bedömts som mycket liten.53 Detsamma gäller i vissa ärenden som har överprövats av regeringen.54 Etikprövnings- 51Porter, C.C., and mining: the Risk of Reidentifica- tion of Personal Information, 5 Shidler J.L. 3 (Sep 23, 2008) 1979/80:2 Del A s. 84. 53SOU 2007:22 Del 1 s. 360; RÅ 1988 ref. 103, RÅ 1994 not. 732, RÅ 1996 not. 54Regeringsbeslut Dnr S2009/10484/HS; Regeringsbeslut Dnr Fi2011/2648. Integritet och registerbaserad forskning nämnderna värderar i sina överväganden normalt risken som mycket låg, särskilt vid utlämnande av anonymiserade uppgifter.55 Det kan också konstateras att den som vill komma åt uppgifter om någon specifik individ betydligt enklare kan hitta sådana i andra, mer lättillgängliga informationskällor, än forskningsregister, särskilt om det dessutom kräver bakvägsidentifiering i ett stort datamaterial. Sammantaget är det min bedömning att riskerna för den person- liga integriteten är mindre vid behandling av personuppgifter i forsk- ning än hos registerförande myndigheter. Ett skäl är att forskare för det mesta behandlar anonymiserade uppgifter och ett annat att de inte har någon möjlighet till myndighetsutövning mot enskilda. kan sägas att all spridning av uppgifter utanför myndig- heterna innebär att den samlade risken ökar något. Allt detta innebär att forskare, liksom statistikansvariga myndig- heter, alltid måste vara vaksamma när de presenterar sina resultat så att individers integritet skyddas. Det finns olika regler som måste följas för att minimera sådana röjanderisker.56 Det finns i detta sammanhang skäl att kommentera den så kallade Metropolitundersökningen som fick mycket uppmärksamhet. kallar den i sin genomgång av inte- gritetsskyddet i samhällsdebatten till och med för Metropolit- skandalen och det ordet återkommer i en artikel i ens tidning i fokus där man dessutom hävdar: Tusentals granskade i hemlighet.57 Metropolit var ett forsk- ningsprojekt som initierades av sociologiska institutionen vid . Avsikten var att under livet följa en årgång av individer, alla som bodde i och som var födda . Totalt handlade det om drygt 15 000 individer. Projektet och dess databas kallas numera , men alla uppgifter är avidentifierade. Tanken var att med jämna mellanrum samla in uppgifter direkt från de berörda personerna och deras anhöriga, men också att kom- plettera med uppgifter från register. Syftet var att undersöka hur social och socioekonomisk bakgrund påverkade människors väl- stånd . Naturligtvis var man i förlängningen intresserad av vilka interventioner som kunde göras för att stärka individer med ett svagt utgångsläge. Undersökningen var förankrad hos myndig- heter och organisationer, till exempel Hem och Skola, som ansågs 55Samtal med CEPN:s vetenskaplige sekreterare . 56Se t.ex. SCB, i statistisk röjandekontroll av tabeller, . 57Integritet i fokus, nr 3-4 2013, Datainspektionen. Integritet och registerbaserad forskning representera även de föräldrar vars barn skulle följas. När Data- inspektionen inrättades 1973 fick forskarna medgivande från myn- digheten att bedriva sin forskning.58 I den kritik som riktades mot projektet hävdades således att det hade försiggått i hemlighet och berört de inblandade mycket illa. Med perspektiv på debatten anser jag att man kan konstatera att reaktionerna var starkt överdrivna och till stor del frampiskade av medierna. Projektet var ingalunda hemligt utan väl förankrat hos myndigheter och intresseföreträdare. Något läckage av uppgifter hade inte förekommit. Däremot var beredskapen hos att i enlighet med datalagen lämna ut registerutdrag till de berörda indi- viderna otillräcklig. Det är inte svårt att se goda skäl för att göra det slag av longitu- dinella studier som Metropolit representerade, där individer följs för att man ska kunna bedöma vad olika uppväxtförhållan- den, utbildningar et cetera betyder. () har be- dömt att projektet och dess data än är av stort värde för hälso- och välfärdsforskningen. Det kan också noteras att man i ett syster- projekt i har kunnat behålla individkopplingen och därmed följa individerna . I en uppföljande enkät fick man en svarsfrekvens på vilket i sammanhanget är mycket högt. En lärdom från är dock att det är viktigt att ta de värderingar och den oro som finns hos allmänheten på allvar. Risken är annars att en viktig forskningsmetod stigmatiseras. Förut- sättningarna för att driva ett projekt av detta slag är också helt annorlunda än . krävs etiktillstånd för en sådan studie och det förutsätts att personer som intervjuas samtycker till att kompletterande uppgifter om dem ska kunna hämtas ur myndig- hetsregister (eller, om det inte har skett, att etikprövningsnämnden godkänner en sådan komplettering) och till att deras barn ska få besvara enkätfrågor.59 Registerbaserad forskning karaktäriseras av att forskarna använ- der stora mängder uppgifter för att söka samband. Det är ovanligt att de har kontakt ansikte mot ansikte med uppgiftslämnarna. Det kan emellertid förekomma att en del uppgifter samlas in av forskar- na i direkt från forskningspersonerna. Inom kvalitativ forskning, som bygger på insamling av uppgifterna från få personer, är sådana kontakter det normala. Direktkontakter av detta slag kan kräva 59Stenberg, S-Å., Född 1953. Folkhemsbarn i forskarfokus. Integritet och registerbaserad forskning särskilda etiska överväganden för att forskaren ska kunna hantera oväntade situationer, till exempel om individen som approcheras reagerar negativt på de frågor som ställs eller om en intervju leder in på helt andra spår än forskaren har tänkt sig.60 Forskares användning av känsliga personuppgifter, liksom av bio- logiska prover, måste således numera alltid föregås av en etisk pröv- ning enligt etikprövningslagen. uppgift är enligt lagen att skydda den enskilda människan och respekten för människovärdet vid forskning.61 Att det finns sådana krav på etisk prövning för ett handlande är tämligen unikt för forskningen. I många andra sammanhang kan mer ingripande åtgärder vidtas utan i varje fall någon explicit etisk pröv- ning. En forskare som vill ställa känsliga frågor till individer måste ha etiktillstånd, även om frågorna ställs efter informerat samtycke, medan journalister eller ett kommersiellt företag som samlar in liknan- de uppgifter inte behöver det. Forskaren måste ofta avidentifiera sina data, vilket ett kommersiellt företaget inte behöver göra. Vid medicinsk forskning krävs alltid etiktillstånd medan samma aktivi- teter i klinisk verksamhet kan ske utan särskilt tillstånd. Vid militär- tjänst kan personer utsättas för risker som inte skulle accepteras i forskningssammanhang. Ett forskningsprojekt som önskade mäta effekterna av minskad belysning på ett vägavsnitt skulle knappast få etiskt tillstånd, medan belysningen utan något tillstånd kan reduce- ras av till exempel budgetskäl.62 Jag har tidigare nämnt hur företaget samlat in ett stort antal domar och gjort dem tillgängliga på nätet. Professor har i en artikel konstaterat att om en rättsvetenskaplig forskare vill utnyttja samma material i sin forskning krävs etiktill- stånd för detta.63 Kraven på forskning är från etisk utgångspunkt alltså mycket strikta jämfört med praktiskt taget all annan verksamhet. 60Guillemin, M., Gillam, L. Ethics, Reflexivity, and Ethically Important in Re- search. Qualitative Inquiry 2004 10:261, 61Se avsnitt 5.5.1. 62Hansson, S-O., Do we a Special Ethics for Research?, Sci Eng Ethics 10.1007/s1 1948-009-9186-6. 63Rynning, E. Privatlivet och forskningen – en dyster lägesbeskrivning, SvJT 2009; , numera justitieråd i , är i artikeln kritisk mot det krav som finns på etiktillstånd för rättsvetenskaplig forskning i sådana fall. Integritet och registerbaserad forskning ningen har behov av en stark ställning hos och ett starkt förtroende från allmänheten. Därför är det rimligt att de etiska kraven är sär- skilt starka när det gäller forskningsverksamhet. Men det kan också finnas skäl att påminna om dessa långtgående krav när riskerna med forskning ska bedömas. Effekterna av de krav som ställs bidrar sannolikt till det förtro- ende hos allmänheten som forskare och forskning åtnjuter. I en europeisk undersökning svarade ja på frågan om man anser att inflytandet från forskning och teknisk utveckling är positivt för samhället. I var det . I EU ansåg att forskare vid universitet uppträder ansvarsfullt i meningen att de tar hänsyn till vilka effekter deras forskning har på samhället. I var siffran . i EU ansåg att forskning och teknisk utveckling bidrar till att göra våra liv enklare, bekvä- mare och mer hälsosamma. av de tillfrågade svenskarna instämde.64 En liknande undersökning utförd på uppdrag av föreningen gav liknande resultat.65 framhåller att det är angeläget att lagstift- ning, och man kan tillägga verksamheter i samhället, så långt möjligt bör återspegla medborgarnas uppfattning om vad som är rätt och fel. Dessa opinionssiffror visar, i varje på ett generellt plan, att med- borgarna tycker det är rätt att satsa på forskning. Det ska dock konstateras att de lagliga kraven på etisk prövning inte gäller all forskning utan endast sådan som innefattar vissa fysiska ingrepp på levande eller döda personer och behandling av känsliga personuppgifter (såsom de definieras i PUL), personuppgifter om lagöverträdelser som innefattar brott med mera och biologiska prover. De etikkommittéer som tidigare fanns vid universitetens medicinska fakulteter och vid Humanistisk-Samhällsvetenskapliga och Socialvetenskapliga forskningsråden behandlade i många fall forskning som faller utanför etikprövningslagens gränser. Det finns dock en möjlighet för forskare att i sådana fall inhämta ett så kallat rådgivande yttrande från en etikprövningsnämnd. Denna kan då meddela att den inte ser några etiska hinder för att projektet ska genomföras, ge råd om forskningens genomförande eller ange vill- kor för en positiv bedömning. Nämnden har dock ingen skyldighet att avge sådana yttranden, bara en rätt att göra det. Det har mot den 64Special Eurobarometer 401, (), Science and Technology, , ec.europa.eu/public_opinion/index_en.htm. 65VA-barometern 2013/14. uppgav sig ha ganska eller mycket stort förtroende för forskare vid universitet och högskolor. Integritet och registerbaserad forskning bakgrunden föreslagits att det skulle införas en lagstadgad skyldighet för etikprövningsnämnderna att ge yttranden till dem som så önskar.66 Jag ska senare återkomma till den frågan.67 När uppgifter samlas in direkt från individer av forskare är delta- gandet alltid frivilligt. Om det handlar om känsliga personuppgifter eller personuppgifter om lagöverträdelser sin innefattar brott med mera krävs dessutom etiktillstånd. Forskaren måste i etikansökan ange vilket ändamålet är med forskningen, men forskaren har också en skyldighet att informera uppgiftslämnarna (forskningspersoner- na) om det är så att deras deltagande grundar sig på kunskaper om vad de medverkar i (informerat samtycke). När de frivilligt svarar på frågor eller lämnar prover är det närmast självklart att det sker med samtycke, och samtycket ska också vara informerat, det vill säga forskningspersonen ska veta hur uppgifter och prover ska användas för att kunna ta ställning till vad deltagandet innebär. Samtycket kan också inkludera att forskningspersonerna går med på att de uppgifter och prover de lämnar får kompletteras med uppgifter ur myndig- hetsregister. Kravet på samtycke kan härledas ur principen om individers rätt till autonomi. Med det menas i detta sammanhang att hon så länge det inte inkräktar på någon annans rätt till självbestämmande bör ha rätt att bestämma över sitt liv. Man tänker sig att den autonoma individen agerar fritt i enlighet med sin egen livsplan. Respekten för hennes autonomi kräver att hon får möjlighet att själv fatta menings- fulla beslut. Tillgång till korrekt och begriplig information och avsaknad av påtryckningar är viktiga förutsättningar för det. Att inhämta ett informerat samtycke från blivande forskningspersoner kan ses som ett uttryck för respekt för deras autonomi. Principen har i den så kallade Helsingforsdeklarationen68 med etiska riktlinjer för medicinsk forskning kommit till uttryck på föl- jande sätt. 66Vetenskapsrådet, God forskningssed rapportserie 1:2011 s. 50 och 60. 67Se avsnitt 8.3.1 och avsnitt 9.1.2. 68Se avsnitt 5.4.2. Integritet och registerbaserad forskning In research involving human subjects capable of giving infor- med consent, each potential subject must be adequately informed of the aims, methods, sources of funding, any possible conflicts of interest, institutional affiliations of the researcher, the anticipated benefits and potential risks of the study and the discomfort it may entail, post- study provisions and any other relevant aspects of the study. The potential subject must be informed of the right to refuse to participate in the study or to withdraw consent to participate at any time without reprisal. Special attention should be given to the specific information needs of individual potential subjects as well as to the methods used to deliver the information. After ensuring that the potential subject has understood the infor- mation, the physician or another appropriately qualified individual must then seek the potential subjects freely-given informed consent, preferably in writing. If the consent cannot be expressed in writing, the non-written consent must be formally documented and witnessed. All research subjects should be given the option of being informed about the general outcome and results of the study. For research using identifiable human material or data, such as research on material or data contained in biobanks or similar reposi- tories, physicians must seek informed consent for its collection, storage and/or use. There may be exceptional situations where consent would be impossible or impracticable to obtain for such research. In such situations the research may be done only after consideration and approval of a research ethics committee. En diskussion pågår om vilken information som behövs för att ett samtycke ska vara informerat. Datainspektionen skriver på sin hemsida att ett samtycke måste vara särskilt och att ett gene- rellt samtycke till behandling av personuppgifter inte kan godtas. Samtycket ska gälla behandling av personuppgifter för ett eller flera preciserade ändamål. Det är till exempel inte acceptabelt att sam- tycka till att hälsouppgifter får behandlas för allehanda framtida forskning. För att samtycket ska var giltigt ska den registrerade ha fått tillräcklig information om behandlingen av uppgifterna. Frågan är hur snävt forskningsändamålet måste definieras och hur mycket information som är tillräcklig. Från en del håll menar man att ett brett samtycke till olika slags forskning inte kan vara informerat, eftersom individen inte får specifik information om all forskning som dennes uppgifter/prover kan kom- ma att användas i. Ju bredare samtycket är, desto mindre informerat Integritet och registerbaserad forskning blir det enligt detta synsätt.69 Andra menar att ett samtycke kan vara informerat trots att informationen som ges är generell, om den täcker allt det som är tillräckligt för individens ställningstagande.70 Från ett sådant perspektiv är mer information inte nödvändigtvis bättre. Denna fråga är central, eftersom användbarheten av sparade uppgifter/prover i hög grad påverkas av bredden på samtycket. Det kan vid första anblicken tyckas självklart att människor alltid bör tillfrågas om exakt vad deras prover och data får användas till. Problemet med att be om förnyat samtycke varje gång en ny forskningsfråga dyker upp är att det kräver resurser i form av både tid och pengar. Även för individerna, som måste samtycka , kan ett sådant system vara krävande. Det kan till och med leda till att de avstår från att delta trots att de gärna skulle vilja medverka till den aktuella forskningen. Någon opinionsundersökning som ställer precis de frågor som det förda resonemanget reser har jag inte funnit. SCB gjorde dock på uppdrag av en undersökning där vissa frågor ställdes. De handlade huvudsakligen om användning av uppgifter i patientjournaler, alltså identifierbara uppgifter. Ungefär två tredjedelar av de tillfrågade ansåg att uppgifterna skulle få an- vändas för att förbättra kvaliteten i hälso- och sjukvården och till forskning. Var åttonde delade inte den uppfattningen. Men nästan hälften ansåg att patienter skulle ha möjlighet att förhindra att upp- gifterna användes för sådana ändamål och drygt var fjärde att patien- terna själva skulle få bestämma vilka uppgifter som skulle kunna användas.71 De regler som finns om informerat samtycke har sitt ursprung i reaktionen mot hur man i Nazityskland experimenterade på män- niskor. Det motiverade krav på samtycke i medicinsk forskning.72 Reglerna riktade ursprungligen in sig på vad som brukar kallas invasiv forskning. Det gäller till exempel den artikel 26 i Helsingfors- deklarationen som citerats ovan. Det är i sådana fall självklart att projektet och riskerna måste beskrivas noga för de potentiella för- sökspersonerna så att de är välinformerade även om detaljer när de tar ställning till sin medverkan. I artikel 32 understryks att insam- 69Amason, V., Coding and consent: moral challenges of the database project in . Bioethics 2004: 18(1): 27-49. 70Hansson, MG., , J., . Et al, Should donors be allowed to give broad consent to future biobank research? Oncol 2006; 7(3): 266-9. 71Din patientjournal Enkätundersökning 2005. 72Beauchamp, T.L., Childress, J.F., Principles of Biomedical Ethics. Integritet och registerbaserad forskning ling av uppgifter/prover också förutsätter samtycke. För användning av redan insamlade uppgifter/prover måste det emellertid finnas en större öppenhet för att avstå från samtycke i varje enskilt fall och i stället luta sig mot godkännande i en etisk kommitté. Det förefaller inte orimligt att man i dessa fall redan vid insamlingen av uppgifter- na/proverna ska kunna inhämta ett bredare samtycke från indivi- derna, till exempel att de medger att deras uppgifter eller prover efter etikprövning får användas i framtida forskning inom ett ganska brett fält. Den så kallade Artikel 29-gruppen73 har i en Opinion konstaterat: It should be sufficient in principle for data controllers to obtain consent only once for different operations if they fall within the reasonable expectations of the data subject.74 Det kan noteras att det samtycke som ges för användningen av vävnadsprover enligt biobankslagen är av detta breda slag.75 Att acceptera att den enskilde ska kunna ge ett sådant brett sam- tycke kan också, för att knyta an till diskussionen om integritetens paradoxer, vara att visa respekt för dennes integritet och autonomi. Det kan som antytts inte uteslutas att enskilda kan uppleva det som krävande och rent av integritetskränkande att vid upprepade tillfällen behöva samtycka till att deras uppgifter/prover får användas för olika forskningsprojekt. Som har framgått måste varje enskilt forsk- ningsprojekt som vill använda känsliga personuppgifter eller prover ha etiktillstånd från etikprövningsnämnden. Man kan således se det så att den enskilde som ger ett brett samtycke väljer att delegera den etiska prövningen i varje enskilt forskningsprojekt till etikprövnings- nämnden. Det bör också framhållas att samtycke i vissa situationer är ogör- ligt. Det kan handla om uttag av uppgifter om ett mycket stort antal individer där det inte är rimligt att begära att alla personer ska kontaktas. I de fall det är fråga om anonymiserade personuppgifter är det inte heller möjligt för forskare att kontakta personerna. I artikel 32 öppnas för sådana situationer och också i svensk lagstiftning har de beaktats. Enligt 10 § PUL får uppgifter behandlas om den enskilde har lämnat sitt samtycke eller om behandlingen är nödvändig för att exempelvis en arbetsuppgift av allmänt intresse ska kunna utföras. Forskning kan vara ett exem- pel på en sådan arbetsuppgift. Om det handlar om känsliga person- 73Se avsnitt 5.3.4.6. 74Article 29 Data Protection Working Party, Opinion 15/2011 on the definition of consent, Adopted on 13 2011, 75Biobankslagen, 3 kap 1 § Integritet och registerbaserad forskning uppgifter i PUL:s mening (§ 13) krävs enligt 19 § PUL etikgodkän- nande. har i sitt beslut att bedöma huruvida samtycke krävs eller inte. Vid uttag av omfattande registeruppgifter, särskilt i anonymiserad form, är praxis att inte begära att samtycke inhämtas.76 Lagstiftaren har således beaktat situationer där inhämtande av ett aktivt samtycke för ett konkret forskningsprojekt i praktiken är ogörligt. Utgångspunkten är då att uppgifterna redan är insamlade och finns i ett myndighetsregister eller en biobank. Det är inte lika tydligt hur lagstiftaren ställer sig vid insamling av uppgifter för forsk- ningsändamål och där syftet är att uppgifterna ska kunna användas till flera olika, okända forskningsprojekt. En av Datainspek- tionens invändningar mot det så kallade vid var att man ansåg att forskningspersonerna inte kunde ge ett informerat samtycke när de lämnade sina prover och uppgifter eftersom de inte kunde få kunskap om i vilka konkreta forskningsprojekt dessa skulle komma att användas. Den tolkningen av lagstiftningen blir enligt min mening orimligt restriktiv. Den skulle i praktiken göra det omöjligt att samla in uppgifter från ett stort antal individer om man inte redan vid insamlingen vet vilka forskningsfrågor som man vill analysera. En besluts- kompetent vuxen person måste således ha möjlighet att lämna upp- gifter på grundval av informationen att de ska användas till forskning inom ett ganska brett fält utan att veta exakt vilka forskningsfrågor som kommer att ställas. Även om forskare således inte alltid kan inhämta samtycke för varje forskningsprojekt finns goda möjligheter att informera om dessa på annat sätt.