sou · H2B345 · 2014-06-25 00:00:00 — Where statistical agencies disclose sensitive data among themselves to facilitate joint processing, the legal basis for doing so has been questioned on occasion. It has also been questioned if there is a legal basis with regard paid to secrecy to disclose secret data to another agency to faciliate joint processing of data on behalf of a third agency. conclusion is that this processing can be carried out according to existing law. Joint processing could be facilitated through the development of a federated system. This involves the retrieval of data from various sources to a trusted location, an institution that all the data owners trust and to which they can provide access to data without concern for its being spread. Connected to a trusted location of this kind, researchers work in the same way as in the current system. Data is retrieved electronically to this trusted location directly from the sources without any transfer of data among the agencies taking place. In its Research and Innovation , the Government was positive towards such a solution and stated that this would be investigated separately. However, no such initiative has been taken. A federated solution requires extensive technological development. Achieving a solution of this kind is likely to require a government initiative, possibly in coopeartion with the which has recently initiated av development program in this field. SND is an important infrastructure for Swedish research. It is important that SND should become a permanent activity and be given reasonable conditions to fulfil its tasks. Today, researchers deposit copies of their data with SND. It would be advantageous if SND could become an archiving agency where original data could be deposited. As an archiving agency, SND would also become the controller of personal data for the information held, which would tackle 's objections to the current order. and have organised corresponding activities in another way: in as an independent organisation under the , and in as part of the State Archives. The Norwegian solution appears to be the most attractive with respect to the independence and development of the activity. The Government should appoint a to draft a long-term solution for SND. To simplify the management of matters where the research aim is to use only anonymised data from agency registers, it is proposed that the boards be able to delegate such matters to the chair. It is further proposed that researchers should have the right to receive an opinion from the ethical review board on research projects that do not fall under the Act. The opportunity to request such an opinion exists today, but the board itself deter- mines whether or not it wants to give an opinion. It is also proposed that disclosure from research databases should always require ethical permission, regardless of whether this involves sensitive personal data. When data is disclosed in anonymised form, the disclosing agency may retain a code key that makes it possible to supplement the data later on. This possibility has primarily arisen to enable longitudinal studies, where the same individuals or phenomena are followed for a long period, and similar studies. In longitudinal studies, the disclosing agency and researchers agree on how long the code key is to be retained. Normally, it is retained for three years with the possibility of extension. The dis- closing agency may, however, be reluctant to retain the code key if it feels that the research questions have changed. A code key might also be created and retained for other research projects, but normally for a considerably shorter period, usually three months. The aim is to be able to supplement disclosed data if some- thing has gone wrong or if the researcher has overlooked something in the application. There are several reasons for the standard retention of code keys for a longer period. Linking retention to the posing of the same research questions does not seem to be reasonable. It is natural for the research questions in a longitudinal study to be successively modified. During an ongoing project, a researcher might find that data needs supplementing even if this was not anticipated when the data was requested. Besides this, it is important in all research to provide opportunities for replication or for re-analysis of the same, or supplemented, data. In light of this, it is proposed that code keys be retained at the disclosing agency for twenty years from the date of disclosure with the possibility of prolongation. A new secrecy provision To maintain public confidence in research, it is important for the regulatory framework to provide for the protection of the indi- vidual's privacy. Today, there are several different provisions that entail the secrecy of personal data processed in research. However, the regulations are not easy to survey, which can create uncertainty. The Public Access to Information and Secrecy Act contains a specific provision on statistical secrecy. Data collected for statistical purposes is protected by absolute secrecy. The preparatory works to the legislation invoke three reasons for statistical secrecy. The interest of public access to such data is considered to carry weight. A compilation of data which is, in itself, innocuous can sometimes be sensitive with respect to privacy. And a respondent must feel confident that his or her information is not revealed. These reasons also speak in favour of a corresponding secrecy protection for data collected for research. Against this background, a corresponding research secrecy is proposed. This entails that personal data collected for research is always protected by absolute secrecy. As is the case for data collected for statistical purposes, there should be a provision that overrides secrecy for this data collected for research purposes to the effect that it can be used for other research if certain conditions are met. This secrecy also a duty of confidentiality for those handling the data. It is not only important for personal data to be protected by secrecy, but also for it to be processed in accordance with existing rules and in technically secure systems. All major universities and most university colleges have personal data representatives, whose task is to ensure that the controller of personal data, i.e. the higher education institution, complies with existing rules. In many cases, personal data representatives do not appear to have the resources and status necessary to perform this task satisfactorily. It is the boards of the higher education institutions that have the ultimate responsibility for ensuring that this activity functions satisfactorily. I propose that the Government in its annual instructions to univer- sities and university colleges should request them to give even more inportance to the protection and security of processing personal data, e.g. by strengthening the position of the personal data repre- sentatives, and report taken measures back to the Government. 's terms of reference give prominence to the difficulties under current law in creating research databases for definite, but relatively general, research purposes. has taken a hesitant view towards research databases for general pur- poses. It has also questioned the legality of the consent given by individuals when supplying data to such databases. Act only allows the granting of ethics approval to specific research projects. Disclosing agencies find themselves prevented from disclosing data to databases where the specific research questions are unknown. In other words, there are currently no legal prere- quisites for such research databases. The Government and the Riksdag have in some cases passed special enactments to make research databases possible. One example is the act governing the IFAU database and another the act gover- ning certain registers for research on the significance of heredity and environment for human health (the LifeGene Act). Statistics also has a couple of such databases that are partly used for research. According to an inventory commissioned by the , there are about an additional fifty research databases in . These may, for example, have been created a long time ago, before the current regulations were in place, have been built around a specific research project or approved through a generous inter- pretation of the Act. The introduction of a special act on research databases is pro- posed. The idea is that this will state some general rules for research databases, but that each database will be supplemented with a government ordinance to regulate what further details should apply, e.g. purpose and content. The purpose of the research databases is to create a basis for research and to disclose data for research projects. Disclosure will always require ethics approval. A research database is an infrastructure that will be capable of use in future research projects by several different researchers from different higher education institutions and within different disciplines. The projects are not known when the database is created. It should be possible to create research databases at state universi- ties, university colleges and other public agencies commissioned to do reserach. should be commissioned to propose to the Government which research databases should should also enter agreements with the host universities regarding funding, organisation and accessi- bility. Funding should be secured for eight years ahead. Research databases are to be evaluated every eight years, preferably by an international evaluation group. The controller of personal data, i.e. the higher education insti- tution or other agency concernded, shall restrict its employees' electronic access to personal data to what each one needs to carry out tasks relating to the database. Administration of the research database shall be performed by a special and distinct unit. The data collected in the research database will be retrievable from various sources. Certain data can be collected directly from individuals; other data can be retrieved from existing registers. En- suring that the agencies are able to submit data to the research data- bases requires provisions on the obligation to provide information with respect to these. The special ordinances that will be in force for each research database should govern which agencies will be obligated to disclose data and which data this obligation will cover. Individuals will be able to submit data and give informed consent to its being processed for the purposes specified in the ordinance for the research database. The data in a research database will be protected by absolute secrecy, but with certain exceptions. Individuals will have the right to obtain, upon request, an extract of identifiable data registered in the database. The Swedish biobank register is today a regional system. The register is held at six regional biobank centres operated by regions and county councils. The existence of a national biobank register would facilitate the traceability of biobank specimens in a variety of con- texts. A register of this kind was proposed a few years ago by the state Biobank Inquiry. Its proposals have, for various reasons, not resulted in legislation. In light of this, the present inquiry proposes that the Swedish biobank register be remodelled into a national system for the re- gistration of biobank specimens, the National biobank register. It is proposed that become the register's controller of personal data. Processing of data in the register will be allowed in order to facilitate traceability in the care and treatment of the registered per- son, in research, quality assurement and the production of statistics and in the destruction or de-identification of tissue specimens when the registered person has withdrawn his or her consent. The data that may be registered relates primarily to the donor's identity, the donor's position on the handling of the specimens (consent), the nature of the tissue specimens, the biobank in which they are held and data on diagnosis and analysis results. Absolute secrecy applies to the data contained in the register, but with provisions that override secrecy for, e.g. research. It will also be possible to disclose data in matters concerning the individual's care and treatment. Registration is based on consent, i.e., when the biological specimen is stored in a bank, the individual takes a position on how it may be processed. However, the specimens already held in biobanks may be registered without specific consent. It should be emphasised that the persons concerned have consented to the specimens being stored in the biobank and how they may be used. The absence of consent applies only to the actual registration in the national register. The opportunity to withdraw consent always exists and is facilitated by the increased traceability that comes with the central register. När en statistikansvarig myn- dighet lämnar ut uppgifter som inte direkt kan hänföras till en enskild för forskningsändamål ska myndigheten i samband med ut- lämnandet förse uppgifterna med en beteckning som hos den sta- tistikansvariga myndigheten kan kopplas till personnummer eller motsvarande för att göra det möj- ligt att senare komplettera upp- gifterna i ett forskningsprojekt eller utföra uppföljning, replikation eller granskning av samma projekt.En förteckning över beteckning och personnummer (kodnyckel) ska bevaras hos den utlämnande myndigheten från ut- lämnandet av de uppgifter som kodnyckeln avser. lag om ändring av lagen (2001:99) om den officiella statistiken Härigenom föreskrivs att 16, 17 och 18 §§ lagen (2001:99) om den officiella statistiken ska ha följande lydelse. När en statistikansvarig myn- dighet lämnar ut uppgifter som inte direkt kan hänföras till en enskild, får myndigheten i sam- band med utlämnandet förse upp- gifterna med en beteckning som hos den statistikansvariga myn- digheten kan kopplas till per- sonnummer eller motsvarande för att göra det möjligt att senare komplettera uppgifterna. En så- dan åtgärd får vidtas om den som uppgifterna lämnas ut till skall använda dessa för forskning eller statistik samt har ett särskilt behov av att senare kunna komplettera uppgifterna. En sådan åtgärd får vidtas om den som uppgifterna lämnas ut till har ett särskilt behov av att senare kunna komplettera uppgifterna.Om en uppgift rättats, blocke- rats eller utplånats hos den stati- stikansvariga myndigheten ska myndigheten vidta de åtgärder som behövs för att uppgifterna ska kunna ändras hos den som upp- gifterna lämnats ut till. Om en uppgift rättats, blocke- rats eller utplånats hos den sta- tistikansvariga myndigheten skall myndigheten vidta de åtgärder som behövs för att uppgifterna skall kunna ändras hos den som uppgifterna lämnats ut till. randet av kodnyckeln kan där- efter förlängas av den myndighet som bevarar den eller på ansökan av forskningshuvudman som an- vänder uppgifter som kodnyckeln är kopplad till. Om en uppgift rättats, blocke- rats eller utplånats hos den sta- tistikansvariga myndigheten ska myndigheten vidta de åtgärder som behövs för att uppgifterna ska kunna ändras hos den som uppgifterna lämnats ut till. Uppgifter som lämnats ut i fall som avses i 16 § första stycket får av den som uppgifterna lämnas ut till behandlas endast för forskning eller statistik. Inte heller behöver den som be- handlar uppgifterna på begäran av den registrerade rätta, blocke- ra eller utplåna uppgifter. Den som har fått personupp- gifter som avses i 16 § första stycket behöver inte lämna infor- mation till den registrerade om att uppgifter behandlas, om den som behandlar uppgifterna inte själv har möjlighet att vidta någon åtgärd för att identifiera den registrerade. Inte heller behöver den som behandlar uppgifterna på begäran av den registrerade rätta, blockera eller utplåna upp- gifter. Denna lag träder i kraft . lag om ändring i lagen (2003:460) om etikprövning av forskning som avser människor Härigenom föreskrivs i fråga om lagen (2003:460) om etikpröv- ning av forskning som avser människor dels att 3 och 27 §§ ska ha följande lydelse dels att det i lagen ska införas en ny paragraf, 5 a §, av följande lydelse. Nuvarande lydelse Föreslagen lydelse Denna lag ska tillämpas på forskning som innefattar behandling enligt 13 § personuppgiftslagen (1998:204), eller (1998:204), brott, domar i brottmål, straff- brott, domar i brottmål, straff- enligt 21 § personuppgiftslagen. enligt 21 § personuppgiftslagen, 3. personuppgifter i en forsk- ningsdatabas som förs med stöd av lagen (0000:00) om forsknings- nämnd ska på begäran lämna rådgivande yttranden över forsk- fall forskningen inte omfattas av denna lag. Nämnden får även lämna rådgivande yttranden över 1 Senaste lydelse SFS 2008:192 arbeten som utförs inom ramen för högskoleutbildning på grund- nivå eller på avancerad nivå. En avdelning är beslutför med ordföranden ensam vid – förberedande åtgärd, 1. förberedande åtgärd, – rättelse av skrivfel och lik- 2. rättelse av skrivfel och lik- – annat beslut som inte inne- 3. annat beslut som inte inne- bär något slutligt avgörande av bär något slutligt avgörande av ett ärende, och – prövning av fråga om avvis- 4. prövning av fråga om avvis- ning eller avskrivning av ärende. ning eller avskrivning av ärende, 5. prövning av ärende som av- ser forskning som endast innefattar behandling av personuppgifter som med uppgifter som primärt samlats in för andra ändamål än forskning och som inte genom namn, annan de förhållande är direkt hänförlig till den enskilde. Ordföranden får lämna över Ordföranden får lämna över sådana uppgifter som avses i sådana uppgifter som avses i första stycket till en föredragande första stycket 1–4 till en föredra- gande vid nämnden. En avdelning får lämna över till ordföranden eller någon annan ledamot att efter prövning i sak avgöra ett visst ärende eller ären- den som är sådana att tidigare vägledande avgöranden kan tillämpas eller som annars är av sådant slag att de inte behöver avgöras av avdelningen. 1.Denna lag träder i kraft . 2.Bestämmelsen i 27 § gäller i sin äldre lydelse beträffande ärenden som inkommit till etikprövningsnämnden före ikraft- trädandet. lag om ändring i offentlighets- och sekretesslagen (2009:400) Härigenom föreskrivs i fråga om offentlighets- och sekretess- lagen (2009:400) dels att 10 kap. 23 och 27 §§, 11 kap. 3 §, 24 kap. 1 och 9 §§ samt 25 kap. 11 och 18 §§ ska ha följande lydelse, dels att 24 kap. 4 § ska upphöra att gälla, dels att rubriken till 24 kap. 1 § ska ha följande lydelse, dels att det i 24 kap. ska införas en ny paragraf, 15 a §, av följande lydelse. Om inte annat följer av 19– Om inte annat följer av 19– 22 §§ får en uppgift som angår 22 §§ får en uppgift som angår misstanke om ett begånget brott misstanke om ett begånget brott och som är sekretessbelagd en- och som är sekretessbelagd en- ligt 24 kap. 2 a eller 8 §, 25 kap. ligt 24 kap. 1, 2 a eller 8 §, 1 §, 2 § andra stycket eller 3– 25 kap. 1 §, 2 § andra stycket, 3– 1–6 §§, 15 a §§, 26 kap. 1–6 §§, 1 §, 31 kap. 1 § första stycket, 2 1 §, 31 kap. 1 § första 12 §, 33 kap. 2 §, stycket, 2 eller 12 §, 33 kap. 2 §, 3 § eller 40 kap. 2 eller 5 § lämnas 3 § eller 40 kap. 2 eller till en åklagarmyndighet, polis- 5 § lämnas till en åklagarmyndig- het, polismyndighet eller någon myndighet som har till uppgift annan myndighet som har till att ingripa mot brottet endast uppgift att ingripa mot brottet endast om misstanken angår 1.brott för vilket det inte är föreskrivet lindrigare straff än fängelse 2.försök till brott för vilket det inte är föreskrivet lindrigare straff än fängelse , eller 3.försök till brott för vilket det inte är föreskrivet lindrigare straff än fängelse , om gärningen innefattat försök till över- 2 Senaste lydelse SFS 2013:795. föring av sådan allmänfarlig sjukdom som avses i 1 kap. 3 § smitt- skyddslagen (2004:168). Utöver vad som följer av 2, 3, 5 och 15–26 §§ får en sekretess- belagd uppgift lämnas till en myndighet, om det är uppenbart att intresset av att uppgiften lämnas har företräde framför det intresse som sekretessen ska skydda. Första stycket gäller inte i Första stycket gäller inte i fråga om sekretess enligt 24 kap. fråga om sekretess enligt 24 kap. 2 a och 8 §, 1–8 §§, 1, 2 a och 8 §§, 25 kap. 1–8 och 26 kap. 1–6 §§, 15 a §§, 26 kap. 1–6 §§, 29 kap. 1 2 §§, 31 kap. 1 § första stycket, och 2 §§, 31 kap. 1 § första 2 och 12 §§, 33 kap. 2 §, 36 kap. stycket, 2 och 12 §§, 33 kap. 2 §, 3 § samt 40 kap. 2 och 5 §§. 36 kap. 3 § samt 40 kap. 2 och Första stycket gäller inte heller om utlämnandet strider mot lag eller förordning eller föreskrift som har meddelats med stöd av per- sonuppgiftslagen (1998:204). Får en myndighet i sin forsk- Får en myndighet en uppgift ningsverksamhet från en annan som är belagd med sekretess enligt 24 kap. 1 § från en annan myn- uppgift, blir sekretessbestämmel- dighet, blir sekretessbestämmel- sen tillämplig på uppgiften även sen tillämplig på uppgiften även hos den mottagande myndig- hos den mottagande myndig- Första stycket tillämpas inte på en uppgift som ingår i ett beslut hos den mottagande myndigheten. Sekretess gäller för uppgift som hänför sig till psykologisk under- sökning som utförs för forsknings- Sekretess gäller i forsknings- verksamhet för uppgift som avser en enskilds personliga eller ekono- 3 Senaste lydelse SFS 2013:795. Den tystnadsplikt som följer av 1, 2 a och 8 §§ och den tyst- nadsplikt som följer av ett för- behåll som gjorts med stöd av 7 § andra meningen inskränker rätten enligt 1 kap. 1 § tryck- frihetsförordningen och 1 kap. 1 och 2 §§ yttrandefrihetsgrund- lagen att meddela och offentlig- göra uppgifter. ändamål, om det inte står klart att uppgiften kan röjas utan att den som uppgiften rör eller någon när- stående till denne lider men. För uppgift i en allmän hand- ling gäller sekretessen i högst . miska förhållanden och som kan hänföras till den enskilde. Uppgift som behövs för forskningsända- mål eller uppgift som behövs i en utredning av oredlighet i forskning eller för att yttrande ska kunna lämnas i samband med sådan ut- redning får dock lämnas ut om det står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider skada eller men. Sekretess enligt första stycket gäller också i verksamhet som av- ser förande av eller uttag ur data- baser enligt lagen (0000:00) om forskningsdatabaser. För uppgift i en allmän hand- ling gäller sekretessen i högst , om uppgiften avser en enskilds personliga förhållanden, och annars i högst . Med forskning avses i denna paragraf detsamma som enligt lag (2003:460) om etikprövning av forskning som avser människor. Den tystnadsplikt som följer av 2 a och 8 §§ och den tystnads- plikt som följer av ett förbehåll som gjorts med stöd av 7 § andra meningen inskränker rätten en- ligt 1 kap. 1 § tryckfrihetsför- ordningen och 1 kap. 1 och 2 §§ yttrandefrihetsgrundlagen att meddela och offentliggöra upp- gifter. 4 Senaste lydelse SFS 2013:795. Den tystnadsplikt som följer av 2 § inskränker rätten att med- dela och offentliggöra uppgifter, när det är fråga om uppgift om annat än verkställighet av beslut om vård utan samtycke. Sekretessen enligt 1 § hindrar inte att uppgift lämnas 1.från en myndighet som bedriver verksamhet som avses i 1 § i en kommun till en annan sådan myndighet i samma kommun, 2.från en myndighet som bedriver verksamhet som avses i 1 § i ett landsting till en annan sådan myndighet i samma landsting, 3.till en myndighet som bedriver verksamhet som avses i 1 § eller till en enskild vårdgivare enligt vad som föreskrivs om sam- manhållen journalföring i patientdatalagen (2008:355), 4.till ett nationellt eller regionalt kvalitetsregister enligt patient- datalagen, 5.till register som förs med stöd av lagen (0000:00) om , 5. från en myndighet som be- 6. från en myndighet som be-