sou · H2B345 · 2014-06-25 00:00:00 — Det ska finnas ett tydligt behov av en databas inom det aktuella området och det ska ställas höga krav på kvalitet och säkerhet hos den verksamhet som ska hålla databasen. Tanken är att forskningsdatabasen ska bevaras och möjlig- göra longitudinella studier eller jämförande studier . Utgångs- punkten bör vara att det endast ska finnas en forskningsdatabas för varje större forskningsfält i . Undantag från den huvud- regeln ska särskilt motiveras. Databasen ska utgöra en nationell resurs som ska kunna användas av forskare i hela . Vad som avses med begreppet nationell resurs redovisas i avsnitt 8.4.3. För att garantera långsiktighet och kvalitet i verksamheten bör finansie- ringen av forskningsdatabasen vara säkerställd för i vart fall . För att databasen verkligen ska bli en nationell resurs ska den myn- dighet som ska föra databasen ha kompetens och tillräckliga resurser att behandla ansökningar om uttag ur forskningsdatabasen inom rimlig tid och utlämnande till forskningsprojekt ska kunna ske till Principerna för avgifter vid uttag ur databasen bör regleras i överenskommelse mellan staten och myndigheten. Ett vetenskapligt råd bör vara knutet till forskningsdatabasen. Rådet bör vara ansvarigt för databasens uppbyggnad och utveckling samt ha möjlighet att behandla frågor av etisk karaktär som kan uppkom- ma i samband med databasen. VR ska ansvara för en regelbunden utvärdering av de databaser som etableras med stöd av den föreslag- na lagen. Utvärderingen bör lämpligen ske exempelvis och företrädelsevis av internationella utvärderingsgrupper. Det följer av 2 § PUL att om det i annan lag eller i en förordning finns bestämmelser som avviker från PUL ska de bestämmelserna gälla i stället för . PUL är således subsidiär i förhållande till särregleringar i andra författningar. När det gäller särregleringar i förhållande till PUL är det vanligaste att särregle- ringen endast kompletterar eller ersätter PUL i vissa avseenden. Den myndighet som ska behandla personuppgifter måste i dessa fall beakta bestämmelserna i både den särskilda registerförfattningen och i PUL. Denna teknik har bland annat använts i lagen om be- handling av personuppgifter vid IFAU och i lagen om vissa register om vad arv och miljö betyder för människors hälsa. Ett annat sätt att reglera personmuppgiftsbehandlingen är att den särskilda register- författningen innehåller en heltäckande reglering av all personupp- giftsbehandling i en viss verksamhet. Det innebär vanligtvis att lagen innehåller en uppräkning av vilka regler i PUL som ska tillämpas. Lagrådet har kritiserat denna typ av lagstiftningsteknik, eftersom den innebär svårigheter att överblicka om dataskyddsdirektivet blir genomfört till fullo och det medför risk att hänvisningarna till PUL vid blir felaktiga eller ofullständiga.44 Trots det har denna modell har används i senare lagstiftning, exempelvis polisdatalagen (2010:361) och kustbevakningsdatalagen (2012:145). Det kan således konstateras att båda lagstiftningsteknikerna har använts i de särskilda registerförfattningarna . Jag menar att den lämpligaste lagstiftningsmodellen i nu aktuellt fall är att den föreslagna lagens bestämmelser, och de föreskrifter som kan komma att meddelas i anslutning till lagen, endast ersätter eller kom- pletterar PUL i frågor som är specifika för behandling av person- 2000/01 :33 s. 88. uppgifter i forskningsdatabaser. I övrigt ska PUL vara tillämplig. Att i lagen räkna upp alla de bestämmelser som ska gälla utöver lagens särbestämmelser gör lagen otymplig och svåröverskådlig. Den före- slagna lagen ska således endast innehålla de regler som är särskilda för behandlingen av personuppgifter i forskningsdatabaser. För tyd- lighetens skull bör det dock anges i lagen att PUL gäller om inget annat anges i lagen eller förskrifter som meddelats i anslutning till lagen. Enligt 3 § PUL är den personuppgiftsansvarige den som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen av personuppgifter. Det är brukligt att i särskilda registerförfattningar ange vilken myndighet som är personupp- giftsansvarig. Det bör således framgå av lagen att den statliga myn- dighet som utför behandlingen av personuppgifter är personuppgifts- ansvariga för behandlingen. Regeringen bör i de särskilda förord- ningar som ska införas för varje databas specificera vilken statlig myndighet som är personuppgiftsansvarig. Ändamålsbestämmelsen i en registerförfattning är av central betydelse för skyddet för den personliga integriteten. Den definierar vilka upp- gifter som får tas in i registret och hur uppgifterna i registret får behandlas. Ändamålet reglerar också hur många personuppgifter som får behandlas och hur länge de får bevaras i registret. Ända- målsbestämmelsen är således den yttre ram som ska garantera att en personuppgift endast behandlas om det är motiverat och nödvän- digt. Det primära ändamålet i en registerförfattning avser myndighetens eget behov av att behandla personuppgifter. I 9 § första stycket c PUL slås fast att den personuppgiftsansvariga ska se till att person- uppgifter endast samlas in för särskilda, uttryckligt angivna och berättigade ändamål. Enligt den så kallade finalitetsprincipen (9 § första stycket d PUL) får personuppgifter inte behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in. Behandling av personuppgifter för historiska, statistiska eller vetenskapliga skäl ska dock inte anses oförenlig med de ändamål för vilka uppgifterna samlades in (9 § andra stycket PUL). Enligt det förslag till lag om forskningsdatabaser som jag lämnar ska de primära ändamålen för personuppgiftsbehandlingen vara att skapa underlag för och att lämna ut uppgifter till olika forsknings- projekt som är godkända enligt etikprövningslagen. Frågan är om denna ändamålsbestämmelse är tillräckligt specifik för att tillgodo- se dataskyddsdirektivets och PUL:s krav. Något prejudikat från i frågan finns inte. Forskning har dock i tidigare lagstiftning ansetts utgöra ett tillräckligt specificerat ändamål.45 Jag är medveten om att det ändamål som anges i lagförslaget är relativt brett och att det kan motivera behandling av ett stort antal kategorier av personuppgifter. Ett sätt att avgränsa ändamålet är att definiera vad som avses med forskning i själva lagen. Definitionen av forskningsbegreppet diskuteras vidare i avsnitt 9.4.16. Frågan är om första punkten i ändamålsbestämmelsen kan av- gränsas ytterligare. Syftet med den föreslagna lagen är att möjlig- göra för vissa myndigheter att inom olika ämnesområden kunna samla in uppgifter till en forskningsdatabas som ska kunna utgöra grund för framtida forskning. Det är därför inte möjligt att, såsom har skett när det gäller lagen om vissa register för forskning om vad arv och miljö betyder för människors hälsa, ange inom vilka ämnes- områden forskningen ska ske. Ändamålet måste vara tillräckligt brett för att inrymma alla de forskningsdatabaser som kan bli aktuella att bygga upp. Däremot bör ändamålet preciseras så långt som möjligt i de särskilda förordningar som ska ligga till grund för behandlingen av personuppgifter i de enskilda forskningsdatabaserna. Regeringen bör här så noggrant och detaljerat som möjligt ange ändamålet med behandlingen för respektive register. Ändamålsbestämmelsen i lagen sätter upp gränser för vad regeringen kan besluta i fråga om omfatt- ningen av de enskilda databasernas ändamål och vilka uppgifter som får samlas in till dessa register. Syftet med lagen är ju också att möjliggöra att insamlade per- sonuppgifter lämnas ut till olika forskningsprojekt. Det bör därför uttryckligen framgå av ändamålsbestämmelsen. Även här kan rege- ringen i den förordning som reglerar databasen precisera vilken typ 45 Se t.ex. lagen (1998:543) om hälsodataregister och patientdatalagen (2008:355). av forskningsprojekt som uppgifterna får lämnas ut till, till exempel genom att specificera ämnesområde, forskning avseende en viss sjuk- domsgrupp etc. Som framhållits tidigare kommer en sådan forskningsdatabas som föreslås potentiellt att innehålla ett stort antal personuppgifter som bevaras . Det är därför av största vikt att upp- gifterna i databasen endast används för sådan forskning som är seriös. För att personuppgifterna ska få användas bör vissa grundläggande krav på integritetsskydd vara uppfyllda. Ett krav för att få använda uppgifterna ur databasen bör därför vara att forskningsprojektet och personuppgiftsbehandlingen godkänts av en etikprövningsnämnd. Detta ska gälla även om uppgifterna inte definieras som känsliga personuppgifter enligt 13 § PUL eller avser lagöverträdelser m.m. enligt 21 § personuppgiftslagen. På detta sätt sker ytterligare en precisering under vilka förutsättningar uppgifter får lämnas ut till ett forskningsprojekt. Etikprövningslagens tillämpningsområde bör således utvidgas för att också omfatta forskning som innefattar be- handling av personuppgifter från en forskningsdatabas enligt den föreslagna lagen om forskningsdatabaser. 9.4.14Inhämtande av uppgifter till en forskningsdatabas Jag har tidigare konstaterat att forskningsdatabaser ska kunna byggas av såväl personuppgifter som samlas in direkt från enskilda som av personuppgifter från myndighetsregister, och en kombination därav. En del av databasen kan till exempel vara uppgifter som samlats in direkt från enskilda som kompletteras med registeruppgifter och en annan del endast registeruppgifter. Ett annat exempel kan vara en databas med uppgifter om hela befolkningen eller ett stort urval där- av som man följer med registeruppgifter och en mindre grupp som följs upp med intervjuer en eller . När uppgifter inhämtas direkt från den enskilde sker det med den enskildes samtycke. I samband med att uppgifterna inhämtas kan den enskilde också tillfrågas om forskningshuvudmannen får in- hämta uppgifter om honom eller henne från myndighetsregister. På så sätt kan även inhämtandet av registeruppgifter ske med samtycke. I de fall databasen eller en del av den endast består av uppgifter som hämtas från ett myndighetsregister har den enskilde i regel inte lämnat sitt samtycke. Som tidigare anförts är forskare vanligt- vis inte i behov av att kunna identifiera enskilda individer och be- handlingen av personuppgifter för forskningsändamål kan vanligtvis ske med anonymiserade uppgifter. Jag menar att huvudregeln ska vara att forskningsdatabaser eller den del därav som består av upp- gifter som är hämtade från myndighetsregister ska bestå av kodade uppgifter. Kodnyckeln ska bevaras hos den statliga myndighet som står för utlämnandet av uppgifterna, vilket vanligtvis torde vara SCB eller . Det kan dock finnas fall då det är nöd- vändigt för forskaren att ta del av identifierbara personuppgifter, till exempel om forskningspersonerna ska kontaktas eller om person- uppgifter från myndighetsregister ska sambearbetas med uppgifter ur journaler. Det bör dock endast ske om det finns särskilda skäl. 9.4.15Utlämnande av uppgifter från en forskningsdatabas Som beskrivits ovan ska uppgifter ur forskningsdatabasen endast få lämnas ut under förutsättning att såväl forskningen som behandling- en av uppgifterna har godkänts enligt etikprövningslagen. Uppgifter bör kunna lämnas ut såväl till forskningsprojekt där en myndighet är forskningshuvudman som till forskningsprojekt som bedrivs i privat regi. Utlämnande av uppgifter från en forskningsdatabas ska vanligt- vis avse personuppgifter som inte är direkt hänförliga till den enskil- de. Det kan dock liksom när det gäller uttag ur andra myndighets- register finnas fall då det är nödvändigt för forskaren att kunna identifiera enskilda individer. På vilket sätt uppgifter får lämnas ut från en forskningsdatabas bör regleras mer ingående i den förord- ning som ska finnas för varje forskningsdatabas. Enligt mitt förslag till lag om forskningsdatabaser ska personupp- gifter få behandlas för två ändamål, dels för att skapa underlag för olika forskningsprojekt och dels för att lämna ut uppgifter till forskningsprojekt. Eftersom ändamålsbestämmelsen avgränsar vad uppgifterna i databasen får användas till är det viktigt att definiera vad som i lagen avses med begreppet forskning. Enligt förslaget ska uppgifterna i en forskningsdatabas få användas i forskningsprojekt som godkänts enligt etikprövningslagen. därför lämpligt att anknyta till den definition av begreppet forsk- ning som anges i etikprövningslagen. Av definitionen i 2 § etikprövningslagen framgår att med forsk- ning avses vetenskapligt experimentellt eller teoretiskt arbete för att inhämta ny kunskap och utvecklingsarbete på vetenskaplig grund. Sådant arbete som utförs inom ramen för högskoleutbildning på grundnivå eller avancerad nivå omfattas inte av definitionen. I för- arbetena anförs att utgångspunkten är att studentarbeten under grundutbildningen i normalfallet inte ska omfattas av etikprövnings- lagen, men att handledarna bör ha ett ansvar att se till att student- arbeten under grundutbildning etikprövas i de fall det krävs.46 Forskning som bedrivs av forskarstuderande under forskarutbild- ning ska däremot normalt etikprövas. Av den proposition som föregick etikprövningslagen framgår att definitionen bland annat bygger på definition av forsk- ningsbegreppet (1993 [1994]) enligt vilken forskning är ett systematiskt och metodiskt sökande efter ny kunskap och nya idéer, såväl när det sker utan någon bestämd tillämpning i sikte (grundforskning) som när det sker med en bestämd tillämp- ning i sikte (tillämpad forskning).47 Det anförs att forskningen är avgränsad till sitt innehåll genom bland annat den vetenskapliga frågeställning som ska besvaras, de metoder som ska användas och antalet forskningspersoner som ska ingå. Lagens forskningsbegrepp inbegriper också utvecklingsarbete på vetenskaplig grund. Därmed avses enligt propositionen ett idérikt och systematiskt utnyttjande av vetenskaplig och annan kunskap för att åstadkomma nya pro- dukter, nya processer, nya system eller väsentliga förbättringar av existerande system. Det anförs också att avsikten är att forsknings- begreppet enligt etikprövningslagen bland annat ska omfatta allt det som omfattas av motsvarande begrepp enligt 19 § PUL. I förarbetena dras också en skiljelinje mot kvalitetsarbete inom en myndighet. I 31 § hälso- och sjukvårdslagen (1982:763) sägs att inom hälso- och sjukvård ska kvaliteten i verksamheten systema- tiskt och fortlöpande utvecklas och säkras. Sådan och liknande verksamhet som utförs inom myndigheter ska enligt propositionen inte anses utgöra forskning i etikprövningslagens mening. I senare förarbeten avseende vissa ändringar i etikprövningslagen diskuteras åter frågan om gränsdragning mot annan verksamhet.48 I 2002/2003:50 s. 92. 2002/03:50 s. 91 och 192 och prop. 2007/08:44 s. 19. 2007/08:44 s. 19. propositionen betonas att definitionen av forskning ska ställa krav på att verksamheten bedrivs utifrån ett vetenskapligt förhållnings- sätt för att särskilja forskning från andra, närliggande, aktiviteter. Med vetenskap avses en kunskapsprocess där kunskap systemati- seras och struktureras genom teoriutveckling och tillämpning av metodiska arbetsredskap. Genom att betona det vetenskapliga för- hållningssättet såväl i inhämtande av ny kunskap som i utvecklings- arbete särskiljs forskning från annan verksamhet som kan ha liknande karaktär, såsom kvalitetssäkring, resultatuppföljning eller journal- istiskt arbete. Med formuleringen "inhämta ny kunskap" avses även forskning som med ett vetenskapligt angreppssätt utförs i syfte att upprepa redan genomförda arbeten för att stärka eller ifrågasätta redan vunna resultat och påståenden. Jag menar att den definition av begreppet forskning som finns i etikprövningslagen är väl avvägd och lämplig att tillämpa även i den här föreslagna lagen. En bestämmelse med en hänvisning till defini- tionen i etikprövningslagen bör därför införas i den föreslagna lagen om forskningsregister. Sekundära ändamål med en personuppgiftsbehandling avser myn- dighetens utlämnande av personuppgifter för att tillgodose andras behov. Det är viktigt att forskning som utgår från uppgifter som hämtats från en forskningsdatabas som förs med stöd av lagen om forskningsdatabaser ska kunna granskas. I likhet med vad som gäller enligt lagen om vissa register för forskning om vad arv och miljö be- tyder för människors hälsa anser jag att ett sekundärt ändamål i den här föreslagna lagen bör vara granskning av forskning.49 Granskning av forskning kan genomföras genom att uppgifter i en forsknings- databas används i nya forskningsprojekt. Om syftet är att replikera eller granska ett tidigare forskningsprojekt faller forskningen under det primära ändamålet. Granskning kan emellertid också ske genom att en högskola genomför en utredning om misstanke om oredlig- het i forskning. eller högskolan får under pågående utredning inhämta ett yttrande från expertgruppen för oredlighet i forskning hos (1 kap. 16 § hög- skoleförordningen (1993:100). Personuppgifter i en forskningsdata- bas bör därför få lämnas ut till en sådan utredning som gäller forsk- 2012/13:163 s. 36. ning som har skett med stöd av den föreslagna lagen och för att ett yttrande i samband med en sådan utredning ska kunna lämnas. Som framgått ovan ska huvudregeln vara att uppgifter ur en forsk- ningsdatabas endast ska lämnas ut till forskningsprojekt som är god- kända enligt etikprövningslagen. Skyldighet att lämna ut uppgifter kan emellertid uppkomma genom bestämmelser i annan lagstiftning. Ett utlämnande av personuppgifter ur allmänna handlingar med stöd av tryckfrihetsförordningen kan till exempel ske utan att utläm- nandet behöver anges som ett särskilt ändamål för vilken person- uppgiftsbehandling är tillåten (8 § första stycket PUL). I 10 kap. OSL finns sekretessbrytande bestämmelser och bestämmelser om undantag från sekretess som medför att sekretessbelagda uppgifter får lämnas ut i vissa situationer. Till exempel hindar inte sekretess att en uppgift lämnas till en annan myndighet, om uppgiftsskyldighet följer av lag eller förordning (10 kap. 28 § OSL). För att det inte ska uppstå konflikt mellan bestämmelsen i den föreslagna lagen och bestämmelser i annan lag som gäller så kallad uppgiftsskyldighet bör det uttryckligen anges i lagen om forskningsdatabaser att upp- gifter får lämnas ut om det finns en skyldighet i lag att göra det. Det bör också uttryckligen framgå att personuppgifter som är regi- strerade enligt lagen alltid får lämnas ut till den registrerade själv. Det kan dock endast ske under förutsättning att den som är ansvarig för databasen har tillgång till identifierabara uppgifter. Det följer av finalitetsprincipen att personuppgifter inte får läm- nas ut för något ändamål som är oförenligt med det för vilket upp- gifterna samlades in. I de fall någon vill genomföra en behandling som inte omfattas av de ursprungliga ändamålen måste det således ske en prövning om det tänkta ändamålet inte är oförenligt med det ursprungliga ändamålet för behandling. Behandling av personupp- gifter för historiska, statistiska eller vetenskapliga ändamål ska dock inte anses oförenlig med de ändamål för vilka uppgifterna samlades in (9 § andra stycket PUL). I lagen om vissa register för forskning om vad arv och miljö betyder för människors hälsa föreskrivs att be- handling av personuppgifter som förs enligt lagen bara får behandlas får sådana ändamål som uttryckligen anges i lagen (8 § andra stycket). Behandling av personuppgifter med stöd av finalitetsprincipen och 9 § andra stycket PUL är således inte möjlig. Detta motiveras med att lagen avser behandling av särskilt känsliga uppgifter, bland annat uppgifter om resultat av genetiska undersökningar, och det endast är fråga om en tillfällig lag.50 Jag menar att finalitetsprincipen och 9 § andra stycket PUL bör vara tillämplig när det gäller utlämnande av uppgifter från forskningsdatabaser som förs med stöd av den föreslagna lagen. Även om detta väsentligen utvidgar de ändamål som en uppgift i en forskningsdatabas kan lämnas ut till menar jag att integritetsskyddet för den enskilde ändå kan upprätthållas. En- ligt mitt förslag om forskningssekretess kommer uppgifter från en forskningsdatabas endast att få lämnas ut för forskningsändamål och för granskning av forskning. Vid överlämnande till en annan myndighet kommer samma sekretess att gälla hos den mottagande myndigheten och lämnas uppgifterna till enskild kan utlämnande ske med förbehåll enligt 10 kap. 14 § OSL. Vidare kommer upp- gifter ur en forskningsdatabas endast att få behandlas efter god- kännande av en etikprövningsnämnd. Jag menar att det därför ändå kommer att finnas ett tillfredsställande skydd för de uppgifter som lämnas ut från databasen med stöd av finalitetsprincipen. Som framgår av avsnitt 9.4.24 föreslår jag att uppgifter som inte längre behövs för de primära ändamålen ska gallras. Det ska dock vara möjligt för regeringen eller den myndighet som regeringen bestämmer att meddela föreskrifter att personuppgifter får bevaras för historiska, statistiska eller vetenskapliga ändamål. Det följer av 11 kap. 6 § OSL att om en arkivmyndighet får en uppgift från en annan myndighet som är sekretessbelagd hos den överlämnande myn- digheten blir sekretessbestämmelsen tillämplig på uppgiften även hos arkivmyndigheten. Den föreslagna forskningssekretessen kommer således att vara tillämplig även efter det att uppgifterna överlämnats till en arkivmyndighet. Det är omöjligt att förutse vilka upp- gifter som samlas in till forskningsdatabaser som kommer att vara värdefulla för framtida forskning. Jag menar att en viktig funktion med en forskningsdatabas går förlorad om uppgifter som arkiverats inte kan användas för andra forskningsändamål än dem som upp- gifterna ursprungligen samlades in för. Med sambearbetning mellan två personregister menas en maskinell bearbetning av uppgifter i ett register tillsammans med uppgifter i ett annat register hos den registeransvarige eller hos annan register- 2012/13:163 s. 38. ansvarig.51 Även annan direkt överföring av uppgifter från ett per- sonregister till ett annat räknas som sambearbetning. Sambearbetning ger möjlighet att lägga samman uppgifter från olika register för att nå ny kunskap. Genom sambearbetning kan forskarna hitta samband och förklara uppkomsten av olika problem, till exempel orsaken till olika sjukdomar. Möjligheten att sambe- arbeta uppgifter från olika register är vanligtvis en förutsättning för framgångsrik registerforskning. Den lag om forskningsdatabaser som jag föreslår kommer att möjliggöra många typer av databaser. Det kan röra sig om databaser som helt baseras på uppgifter som samlats in direkt från enskilda personer, på uppgifter som hämtas från andra register eller, vilket torde bli vanligast, på en kombination av registeruppgifter och upp- gifter som samlats in direkt från enskilda. Ett viktigt syfte med forskningsdatabaser skulle gå förlorad om det inte också fanns möj- lighet att kombinera uppgifterna i databasen med andra uppgifter. Enligt förslaget ska uppgifterna ur en forskningsdatabas endast få lämnas ut till projekt där forskningen och personuppgiftsbehand- lingen godkänts enligt etikprövningslagen. Jag menar att skyddet för den enskildes integritet därmed kommer att upprätthållas. Sam- bearbetning med uppgifter från en forskningsdatabas med andra uppgifter bör således vara tillåtet så länge bearbetningen håller sig inom ramen för det ändamål som anges i lagen och den förordning som ska gälla för varje forskningsdatabas. Någon generell bestäm- melse om sambearbetning av personuppgifter från forskningsdata- baser bör därför inte införas. I de flesta fall kommer uppgifter från forskningsdatabasen att lämnas ut till forskningsprojekt i kodad form.