sou · H2B345 · 2014-06-25 00:00:00 — Vidare ska jag föreslå hur man på ett integritetssäkert sätt kan samla in personuppgifter till register som förs för särskilda och ut- tryckligt angivna forskningsändamål samt till longitudinella studier som håller sig inom ramen för sådana ändamål. Det är för närvaran- de inte möjligt för forskare att skapa register med personuppgifter som underlag för framtida forskning. Orsakerna till detta beskrivs utförligt i avsnitt 8.4.1. Mitt förslag är att införa en lag om forsk- ningsdatabaser som kompletteras med särskilda förordningar om de specifika forskningsdatabaserna. Lagen ska stärka skyddet för den enskildes integritet genom att till exempel reglera för vilka ändamål uppgifter i forskningsdatabaser får behandlas och vilka uppgifter som får behandlas. Lagen innehåller också andra integritetsskyd- dande bestämmelser, såsom förbud mot direktåtkomst, reglering av intern åtkomst till personuppgifter och förbud mot bakvägsidenti- fiering. Slutligen ska jag också undersöka om det befintliga sekretesskyd- det för uppgifter som hanteras inom forskning är tillräckligt för att skydda den enskildes integritet vid forskning. Jag konstaterar att den nuvarande sekretessregleringen är oklar och till vissa delar ofull- ständig. Detta leder till osäkerhet hos forskarna om vilka sekretess- bestämmelser som är tillämpliga, vilket kan leda till problem exempel- vis om någon begär ut uppgifter från forskningsverksamheten. Det kan också leda till ovilja hos allmänheten att medverka i forsk- ningsprojekt om det är oklart om de uppgifter de lämnar kommer att skyddas av sekretess. Jag föreslår därför en ny sekretessbestäm- melse som innebär absolut sekretess för uppgifter inom forsk- ningsverksamhet, med möjlighet att lämna ut uppgifter till annan forskningsverksamhet och för granskning av forskning. Vissa förslag är avsedda att på ett mer generellt plan förenkla för registerbaserad forskning. Dit hör förslaget om ett förenklat för- farande i regionala som enbart ska behandla anonymiserade uppgifter från myndighets- register. Vidare föreslår jag ett system för bevarande av kodnycklar för att underlätta uppdatering och vidareutveckling av redan utförd forskning. Även förslaget till ett nationellt biobanksregister har bland annat till syfte att underlätta för forskningen. 11.4.2En beskrivning av alternativa lösningar som finns för det man vill uppnå och vilka effekterna blir om någon reglering inte kommer till stånd Som anges ovan är det övergripande syftet med förslagen att för- bättra förutsättningarna för registerbaserad forskning, som skyddet för den enskildes integritet ska upprätthållas och förstärkas. Målet är att de förslag till nya eller ändrade regler jag lämnar ska medföra att myndighetsregister och andra datakällor ska kunna ut- nyttjas mer effektivt för forskningsändamål. Detta gäller till exem- pel förslaget om ett förenklat förfarande i etikprövningsnämnden i vissa fall, förslaget om ändring av bestämmelserna om kodnycke- lförfarande och förslaget till lag om . Alternativet till att inte genomföra dessa ändringar och förslag är att bevara nuvarande lagstiftning, vilket enligt min bedömning inte gynnar registerbaserad forskning på samma sätt. När det gäller uppdraget att göra det möjligt att skapa register som syftar till att insamlade personuppgifter ska kunna användas av forskare i flera olika forskningsprojekt som håller sig inom ramen för det för registret angivna forskningsändamålet föreslår jag att en särskild lag om forskningsdatabaser ska införas. Lagen ska kom- bineras med föreskrifter från regeringen i form av en särskild för- ordning för varje enskild forskningsdatabas. Min bedömning är, som framgår av avsnitt 9.4.2, att en reglering som möjliggör personupp- giftsbehandling i forskningsdatabaser bör ske i lagform. Ett alternativ till den föreslagna regleringen hade varit att föreslå att det stiftas en särskild lag för varje forskningsdatabas, vilket definitivt skulle innebära högre kostnader för den lagstiftande processen. Detta alter- nativ bedömer jag som alldeles för tungrott. Som konstateras i av- snitt 9.4.6 är det inte heller tillräckligt att utöka tillämpningsområdet för lagen (2003:460) om etikprövning av forskning som avser män- niskor, etikprövningslagen, till att avse även forskningsdatabaser. En sådan modell löser inte problemet med möjligheten för register- hållande myndigheter att lämna ut uppgifter till en sådan databas eller de invändningar Datainspektionen har mot behandling av per- sonuppgifter för breda ändamål. Etikprövning av forskning som innefattar behandling av känsliga personuppgifter och lagöverträdelser med mera infördes i samband med etikprövningslagen . var det möjligt att be- handla sådana uppgifter om behandlingen var nödvändig och samhälls- intresset av den forskning där behandlingen ingick övervägde den risk för otillbörligt intrång i enskildas personliga integritet som be- handlingen kunde innebära. Ett alternativ hade varit att åter ta bort kravet på etikprövning av forskning som innefattar känsliga person- uppgifter och lagöverträdelser. Min bedömning är dock att systemet med etikprövning utgör ett lämpligt skydd för den enskildes inte- gritet och bör kvarstå. Att forskningen prövas av en oberoende nämnd kan enligt min bedömning bidra till att upprätthålla förtroendet för forskningen. Jag föreslår dock att detta förfarande i vissa fall kan förenklas något (se avsnitt 9.1.1). 11.4.3Uppgifter om vilka som berörs av regleringen Förslagen avseende etikprövningen (avsnitt 9.1.1–9.1.3) berör etik- prövningsnämnderna. Det berör också de enskilda forskarna, som förhoppningsvis kommer att uppleva fördelar genom ett enklare och snabbare förvarande och genom att vara försäkrade att vid behov få ett rådgivande yttrande från nämnden. Förslaget om ändring av bestämmelserna om kodnyckelförfaran- det (avsnitt 9.2) berör de statistikansvariga myndigheterna. För- slaget om en ny sekretessbestämmelse för uppgifter i forsknings- verksamhet berör alla myndigheter som utför forskning, det vill säga främst universitet och högskolor men även andra såsom IFAU, BRÅ, och . Förslaget till ny lag om forskningsdatabaser (avsnitt 9.4) medför att de statliga universiteten och högskolorna samt statliga myndig- heter som har i uppdrag att utföra forskning ges möjlighet att bygga upp forskningsdatabaser med uppgifter som kan ligga till grund för olika ännu inte definierade forskningsprojekt. Myndigheten blir då personuppgiftsansvarig och ansvarig för behandlingen av person- uppgiftsbehandlingen sker i enlighet med lagen och PUL. Förslaget rör också dem vars uppgifter lagen är avsedd att skydda och de myndigheter som kommer att lämna ut uppgifter för behandling i en forskningsdatabas. Förslaget rör också etikprövningsnämnderna eftersom alla forskningsprojekt som innefattar behandling av person- uppgifter som härrör från en forskningsdatabas ska godkännas enligt etikprövningslagen. Förslaget om lagen om rör Social- styrelsen som enligt förslaget ska vara personuppgiftsansvarig för registret. Förslaget berör också dem vars uppgifter kommer att be- handlas i registret, det vill säga provgivarna och i vissa fall prov- givarnas vårdnadshavare. Berörda är även de vårdgivare och andra aktörer varifrån uppgifter om vävnadsprover hämtas. 11.4.4Uppgifter om vilka kostnadsmässiga och andra konskevenser regleringen medför och en jämförelse av konsekvenserna för de övervägda regleringsalternativen Dessa konsekvenser redovisas i avsnitt 11.2. 11.4.5En bedömning av om regleringen överensstämmer med eller går utöver de skyldigheter som följer av anslutning till Europeiska unionen Jag bedömer att förslagen är förenliga med de skyldigheter som följer av anslutning till EU. Inom EU pågår arbetet mot en ny dataskyddsförordning. Arbetet har emellertid inte kommit så långt att det är möjligt att förutse hur regleringen kommer att se ut och vilka effekter den kommer att få. Jag har därför utformat förslagen så de står i överensstämmelse med hur regelverket ser ut . Det är således möjligt att justeringar kan behöva göras om och i så fall när en sådan dataskyddsförordning träder i kraft. 11.4.6En bedömning av om särskilda hänsyn behöver tas när det gäller tidpunkten för ikraftträdande och om det finns behov av speciella informationsinsatser Lagen (2013:794) om vissa register för forskning om vad arv och miljö betyder för människors hälsa innebar att det infördes ett rätts- ligt stöd för statliga universitet och högskolor att behandla person- uppgifter i syfte att skapa underlag för olika forskningsprojekt om vad arv och miljö betyder för uppkomsten och utvecklingen av olika typer av sjukdomar och för människors hälsa i övrigt. Lagen är tidbegränsad till och med och i mitt förslag till en särskild lag om forskningsdatabaser är avsedd att efterträda denna lag. Lagen om forskningsdatabaser och de följdändringar som görs i OSL och etikprövningslagen som görs som en följd av den, bör därför träda i kraft . Samma tidsbegräns- ning gäller för lagen (2012:741) om behandling av personuppgifter vid utvärde- ring. De förslag och överväganden som redovisas i denna utredning kan ha betydelse även för vad som framöver ska hända med den. När det gäller behovet av speciella informationsinsatser bedömer jag att det kan vara lämpligt när det gäller förslaget till lag om . Enligt förslaget ska uppgifter om vävnadsprover som samlas in efter lagens ikraftträdande endast få registreras i om den enskilde eller, i de fall uppgifterna rör en underårig, den enskildes vårdnadshavare efter information lämnat sitt samtycke till att uppgifterna behandlas. I de fall uppgifterna redan behandlas hos en vårdgivare för ikraftträdandet har jag gjort bedömningen att det skulle inne- bära en oproportionerligt stor arbetsinsats att begära samtycke från provgivaren. Enligt förslaget ska sådana uppgifter få registreras i utan den enskildes samtycke, men med möjlighet för honom eller henne att motsätta sig behandling när den påbörjats. Denna så kallade optout-möjlighet förutsätter att allmän- heten informeras om att registret inrättas så att det finns reella möjligheter för den som inte vill vara registrerad att begära utträde. Införandet av ett nationellt biobanksregister i enlighet med mitt förslag kan därför komma att kräva särskilda informationsinsatser. Av 7 § förordningen om konsekvensutredning vid regelgivning följer att i de fall regleringen kan få effekter av betydelse för företags arbetsförutsättningar, konkurrensförmåga eller villkor i övrigt ska konsekvensutredningen, utöver vad som följer av 6 § och i den om- fattning som är möjlig, innehålla en beskrivning antalet företag som berörs, vilka branscher företagen är verksamma i samt storleken på företagen, vilken tidsåtgång regleringen kan föra med sig för före- tagen och vad regleringen innebär för företagens administrativa kost- nader, vilka andra kostnader den föreslagna regleringen medför för företagen och vilka förändringar i verksamheten som företagen kan behöva vidta till följd av den föreslagna regleringen, vilken utsträck- ning regleringen kan komma att påverka konkurrensförhållandena för företagen, hur regleringen i andra avseenden kan komma att på- verka företagen och om särskilda hänsyn behöver tas till små företag vid reglernas utformning. Som tidigare anförts är det huvudsakliga syftet med förslagen att förbättra möjligheterna för registerbaserad forskning. Den forskning som behandlas i detta betänkande är till större delen sådan som utförs av statliga myndigheter. Det bör dock påpekas att det även finns privata företag, till exempel läkemedelsföretag, som bedriver registerbaserad forskning och att även dessa kommer att gynnas av förslagen. De nya bestämmelserna om kodnyckelförfarandet ska tillämpas både vid utlämnande till myndigheter och till forskning i privat regi. Uppgifter i forskningsdatabaser enligt den föreslagna lagen om forskningsdatabaser och uppgifter i Nationella biobanks- registret ska kunna användas av såväl myndigheter som privata forsk- ningsenheter. 11.5Konsekvenser för skyddet för den personliga integriteten och forskningen Konsekvenserna av förslagen med avseende på skyddet för enskilda människors integritet och för forskningens förutsättningar diskuteras utförligt i samband med presentation av förslagen, se kapitel 9. En mer principiell diskussion om relationen mellan registerbaserad forskning och personlig integritet förs också i kapitel 6. 12.1Förslaget till lag om ändring av lagen (2001:99) om den officiella statistiken Första stycket har ändrats på så sätt att bestämmelsen endast avser utlämnande av uppgifter från en statistikansvarig myndighet för forskningsändamål. Reglerna som avser utlämnande för statistik- ändamål har flyttats till 17 §. Liksom tidigare avser bestämmelsen en statistikansvarig myndighets utlämnande av uppgifter som inte direkt kan hänföras till den enskilde. Bestämmelsen innebär att myn- digheten vid sådant utlämnande alltid ska förse uppgifterna med en beteckning som hos den statistikansvariga myndigheten kan kopplas till personnummer eller motsvarande. Denna beteckning, vanligtvis ett löpnummer, är unikt och motsvarar en individ i det utlämnade materialet. Av andra stycket framgår att en förteckning över vilken beteck- ning som motsvarar ett visst personnummer, en så kallad kodnyckel, ska bevaras hos den myndighet som upprättat den efter ut- lämnandet av uppgifterna som kodnyckeln avser. I de fall uppgifter från flera myndigheter ska sambearbetas och kodnyckeln därför används av flera myndigheter ska kodnyckeln bevaras hos den sta- tistikansvariga myndighet som har upprättat den. kan tiden för bevarandet av kodnyckeln förlängas av den myndighet som bevarar den eller på begäran av någon av de forskningshuvudmän som använder kodnyckeln i sin forskning. Syftet med bestämmelsen är liksom tidigare att möjliggöra longi- tudinella studier och studier som är likartade med longitudinella. Bestämmelsen medför att kodnyckeln inte endast ska sparas i de fall forskningshuvudmannen uttryckligen begärt det, utan i samtliga fall en statistikansvarig myndighet lämnar ut anonymiserade upp- gifter. Det är vanligt att forskningsprojekt utvecklas och förändras efter hand, och det är inte alltid möjligt att förutse i vilka fall upp- datering av forskningsmaterialet kan komma att behövas. Kodnyckeln ska bevaras för att göra det möjligt att senare komplettera uppgifter- na i ett visst forskningsprojekt. Ett annat viktigt syfte med bestäm- melsen är att göra det möjligt för en annan forskningshuvudman än den som utförde det ursprungliga projektet att göra en uppföljning, replikation eller granskning av samma projekt. Huvudregeln är att kodnycklen ska bevaras . Det kan dock finnas longitudinella studier där det kan finnas behov av att kunna uppdatera uppgifter även därefter. Det kan även finnas forsknings- studier som bygger på den ursprungliga som behöver kunna upp- dateras även därefter eller uppkomma behov av granskning av ett utfört projekt. Bestämmelsen medför en möjlighet för den statistik- ansvariga myndigheten att besluta att kodnycklen ska bevaras om det finns ett behov av det. Tiden för bevarande ska även på begäran av en forskningshuvudman som använder kodnyckeln i sin forsk- ning kunna förlängas. Det händer att en kodnyckel ändras efter hand som ett forsk- ningsprojekt utvecklas. För att möjliggöra uppföljning och gransk- ning av projektet är det viktigt att samtliga versioner av kodnyckeln bevaras. Det bör noteras att bestämmelsen endast avser att reglera de sta- tistikansvariga myndigheternas upprättande och bevarande av kod- nummer och kodnycklar. Bestämmelsen påverkar inte reglerna som rör forskningshuvudmännens behandling av personuppgifter. I de fall användning av en bevarad kodnyckel kommer att medföra be- handling av känsliga personuppgifter enligt 13 § personuppgiftslagen (1998:204) eller lagöverträdelser m.m. enligt 21 § personuppgifts- lagen krävs således att den planerade behandlingen har godkänts av en etikprövningsnämnd. Bestämmelsen behandlas i avsnitt 9.2.6. Tredje stycket motsvarar andra stycket i den tidigare lydelsen. Stycket har justerats språkligt. Bestämmelsen reglerar en statistikansvarig myndighets utlämnande av uppgifter som inte direkt kan hänföras till en enskild för be- handling för statistikändamål. Bestämmelsen motsvarar 16 § i den tidigare lydelsen avseende utlämnande till behandling för statistik. I paragrafen anges att den som har fått personuppgifter som avses i 16 § första stycket och 17 § första stycket inte behöver lämna infor- mation till den registrerade om att uppgifter behandlas, om den som behandlar uppgifterna inte själv har möjlighet att vidta någon åtgärd för att identifiera den registrerade. Inte heller behöver den som be- handlar uppgifterna på begäran av den registrerade rätta, blockera eller utplåna uppgifter. Bestämmelsen har ändrats till följd av att utlämnande för forskningsändamål och statistikändamål har delats upp på två olika paragrafer. 12.2Förslaget till lag om ändring av lagen (2003:460) om etikprövning av forskning som avser människor Bestämmelsen har ändrats på så sätt att lagen (2003:460) om etik- prövning av forskning som avser människor också ska tillämpas på forskning som innefattar behandling av personuppgifter i en forsk- ningsdatabas som förs med stöd av lagen (0000:00) om forsknings- databaser. Det innebär att forskning som innefattar behandling av personuppgifter som hämtats från en sådan forskningsdatabas endast får utföras om den godkänts vid en etikprövning. Det gäller oavsett vilken typ av personuppgifter det rör sig om, det vill säga även om det inte är känsliga personuppgifter som avses 13 § personuppgifts- lagen (1998:204) eller personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden enligt 21 § personuppgifts- lagen. Ändringen behandlas i avsnitt 9.1.3. Paragrafen är ny. Bestämmelsen om rådgivande yttrande har flyttats från förordningen (2003:615) om etikprövning av forskning som avser människor. Paragrafen medför att en regional etikprövnings- nämnd på begäran är skyldig att ge ett rådgivande yttrande avseende forskning som inte anges i 3 eller 4 §§ lagen (2003:460) om etik- prövning av forskning som avser människor och därmed faller utanför Bestämmelsen är bara tillämplig på sådan verksamhet som utgör forskning enligt etikprövningslagens defini- tion. Rådgivande yttrande kan till exempel bli aktuellt för forsknings- projekt som inte faller under etikprövningslagen tillämpningsområde men där en institution eller forskningsfinansiär kräver en etikpröv- ning eller när det krävs etikprövning för publicering av forsknings- resultat. Det kan röra sig om behandling av personuppgifter som inte är känsliga enligt 13 § personuppgiftslagen (1998:204) eller tillhör kategorin lagöverträdelser med mera enligt 21 § samma lag, men ändå är av sådan känslig karaktär att etikprövning bör ske. Ett annat exempel är forskning som bedrivs av svenska forskare och finansieras med svenska medel i ett land där det inte krävs någon etikprövning för att utföra sådan forskning som kräver etikprövning i . Arbeten som utförs inom ramen för högskoleutbildning på grund- nivå eller på avancerad nivå utgör inte forskning enligt etikpröv- ningslagens definition. För sådana arbeten ska det fortfarande vara frivilligt för de regionala etikprövningsnämnderna att avge yttrande. Bestämmelsen behandlas i avsnitt 9.1.2. Paragrafen har ändrats på så sätt att en avdelning i en regional etik- prövningsnämnd är beslutsför med ordföranden ensam även vid prövning av ärenden som avser forskning som endast innefattar be- handling av personuppgifter som hämtats från myndighetsregister med uppgifter som primärt samlats in för andra ändamål än forsk- ning och som inte genom namn, annan identitetsbeteckning eller liknande förhållande är direkt hänförlig till den enskilde. Av Centrala etikprövningsnämndens praxis följer att forsknings- projekt som endast innefattar behandling av anonymiserade person- uppgifter ur myndighetsregister i regel anses medföra mycket små risker för den personliga integriteten. I sådana ärenden krävs ingen värdering av projektets nytta, eftersom nyttan då alltid kan sägas överväga risken. Bestämmelsen gäller vid behandling av person- uppgifter från myndighetsregister som primärt samlats in för andra ändamål, för till exempel administration eller statistik. Bestämmel- sen utgör en möjlighet för nämnden att överlämna sådana ärenden att avgöras av ordföranden ensam. Bestämmelsen är fakultativ och finner ordföranden att ett ärende är av sådan karaktär att det bör behandlas i nämnden kan ett ärenden åter hänvisas dit. Bestämmelsen behandlas i avsnitt 9.1.1. 12.3Förslaget till lag om ändring av offentlighets- och sekretesslagen (2009:400) Paragrafen innehåller en sekretessbrytande bestämmelse som avser uppgiftslämnande vid misstankar om vissa begångna brott. Bestäm- melsen har ändrats så att inte sekretessen enligt bestämmelsen om forskningssekretess i 24 kap. 1 § eller sekretess i verksamhet som avser förande eller uttag ur register som förs med stöd av lagen (0000:00) om enligt 25 kap. 15 a § hindrar uppgiftslämnande under de förutsättningar som anges i be- stämmelsen. Ändringen behandlas i avsnitten 9.3.10 och 9.5.14.20. Enligt den så kallade generalklausulen i paragrafens första stycke hindrar sekretess inte att en sekretessbelagd uppgift lämnas till en myndighet, om det är uppenbart att intresset av att uppgiften lämnas har företräde framför det intresse som sekretessen ska skydda. Andra stycket har ändrats så att även bestämmelsen om forsknings- sekretess i 24 kap. 1 § och sekretess i verksamhet som avser förande och uttag ur det register som förs enligt lagen (0000:00) om Natio- nella biobanksregistret i 25 kap. 15 a § ska undantas från general- klausulens tillämpningsområde. Ändringen behandlas i avsnitten 9.3.10 och 9.5.14.20. Paragrafen innehåller en bestämmelse om överföring av sekretess vid forskningsverksamhet. Paragrafens första stycke har ändrats med innebörden att i de fall en myndighet får en uppgift som är belagd med sekretess enligt den nya bestämmelsen om forskningssekretess i 24 kap. 1 § från en annan myndighet blir sekretessbestämmelsen tillämplig på uppgiften även hos den mottagande myndigheten. Ändringen behandlas i avsnitt 9.3.11. Första stycket har ändrats så att absolut sekretess ska gälla i forsk- ningsverksamhet för uppgift som avser enskildas personliga eller ekonomiska förhållande och som kan hänföras till den enskilde. Bestämmelsen är tillämplig i all typ av forskningsverksamhet, således även psykologisk undersökning som utförs för forskningsändamål som tidigare reglerades i bestämmelsen. Sekretessen är absolut, vilket innebär att uppgifter som huvud- regel inte ska lämnas ut. I bestämmelsen anges dock vissa undantag från sekretessen. Uppgift som behövs för forskningsändamål eller uppgift som behövs i en utredning av oredlighet i forskning eller för att yttrande ska kunna lämnas i samband med sådan utredning får lämnas ut om det står klart att uppgiften kan röjas utan att den en- skilde eller någon närstående till denne lider skada eller men. Andra stycket är nytt. Bestämmelsen innebär att sekretess enligt första stycket ska gälla även i verksamhet som avser förande av eller uttag ur databaser enligt lagen (0000:00) om forskningsdatabaser. Verksamheten i en databas enligt lagen om forskningsdatabaser är inte att betrakta som forskningsverksamhet i sig eftersom syftet med databasen endast är att skapa underlag för och lämna ut uppgifter till forskningsprojekt. För att sekretessen i första stycket ska bli tillämplig på uppgifter i verksamheten krävs således särskild hän- visning i bestämmelsen. Tredje stycket motsvarar det tidigare andra stycket och anger hur länge sekretessen ska gälla.