sou · H2B345 · 2014-06-25 00:00:00 — Först ska en bedömning av forsk- ningens vetenskapliga bärkraft göras och därefter en avvägning mellan riskerna för skada eller obehag och det väntade värdet av den kunskap forskningen sannolikt kan ge.31 Etikprövning av anonymiserade personuppgifter Vid de kontakter som jag under utredningen har haft med och de regionala etikprövningsnämnderna har framkommit att när det handlar om behandling av anonymise- rade personuppgifter ur myndighetsregister bedöms risken för skada eller obehag för dem uppgifterna avser i regel som mycket liten. Denna bedömning överensstämmer med den som domstolar och regeringen har gjort i ett antal utlämnandeärenden.32 Från etisk ut- gångspunkt bedöms dessa projekt därför kunna godkännas utan att någon egentlig värdering av forskningsprojektets nytta görs. Det ska dock understrykas att det finns andra filter som ett forsknings- 29Se avsnitt 5.5.7–8. 30Etikprövningsnämndernas årsredovisningar 2013, återfinns på . 31Se avsnitt 5.5.5. 32Se t.ex. Regeringsbeslut Dnr Fi2011/2648, RÅ 1988 ref. 103, RÅ 1994 not. 732, RÅ 1996 not. Bakgrund, nuläge och utmaningar projekt måste passera för att kunna genomföras och där nyttan och kvaliteten värderas, till exempel vid ansökan om finansiering. Bifalls- frekvensen på ansökningar till exempelvis de statliga forsk- ningsråden torde i genomsnitt ligga vilket innebär att en sträng kvalitetsgranskning sker där.33 En fråga som denna praxis reser är om det är meningsfullt att över- huvudtaget etikpröva forskning som innebär behandling av anony- miserade personuppgifter. Som har framgått av kapitel 7 har man i och avstått från ett sådant förfarande. Register- forskning kräver där som huvudregel inget etiktillstånd. Det synes inte ha lett till några integritetskränkningar eller andra problem.34 Det förekommer särskilt inom medicinsk forskning att identi- fierbara personuppgifter lämnas ut. Av de utlämnanden som sker från är i av fallen personuppgifterna identifierbara. Identifierbara personuppgifter i form av personnum- mer eller samordningsnummer får enligt 22 § PUL behandlas utan samtycke om det är motiverat med hänsyn till ändamålet med behand- lingen, vikten av säker identifiering eller något annat beaktansvärt skäl.35 Exempel på när en forskare kan behöva identifierbara upp- gifter är om dessa behöver kontrolleras mot patientjournaler eller om forskaren behöver kontakta individerna i fråga. I det första fallet är det etikprövningsnämnden som har att bedöma om samtycke ska inhämtas eller ej. I det senare kan forskningspersonerna vid kontakt avstå från att medverka. I etikansökan ska forskaren översiktligt redogöra för under- sökningsprocedur, datainsamling och datas karaktär. Om forskaren likväl redovisar preciserade uppgifter i ansökan kan det ibland leda till problem när forskaren i nästa steg vänder sig till en utlämnande myndighet. Från det att etikansökan lämnas in och till det att forskaren kontaktar utlämnande myndighet kan det ofta förflyta en relativt . fortgår forskningsprocessen: forsk- aren kanske justerar sina forskningsfrågor eller sina önskemål vad gäller uppgifter. Ofta kräver då utlämnande myndighet ett nytt etik- godkännande. Om det handlar om små justeringar kan ett sådant beviljas på tjänstemannanivå hos etikprövningsnämnden och expe- 33Beviljandegraden inom VR:s olika ämnesråd varierar mellan . Det finns en strävan att ge färre men större bidrag vilket tenderar att minska bifallspro- centen. 34Mads Melbye, Institut, vid besök , Päävi , THL, vid besök . 35Se avsnitt 5.3.4.11. Bakgrund, nuläge och utmaningar dieras ganska snabbt, men denna extra omgång kan likväl utgöra ett irritationsmoment i processen. Det kan mot denna bakgrund finnas skäl att pröva hur en ansökan till etikprövningsnämnden som avser behandling av anonymiserade registeruppgifter ska utformas för att möjliggöra en etikbedömning och inte skapa problem i forskarens kontakter med utläm- nande myndigheter. Det har indikerats från VR att man avser resa denna fråga i registerdatarådet. Uppgifterna får enligt 10 § PUL behandlas om den enskilde har lämnat samtycke eller om behandlingen är nödvändig för att till exem- pel en arbetsuppgift av allmänt intresse ska kunna utföras. Forsk- ning kan vara en sådan arbetsuppgift. För att få behandla känsliga personuppgifter i forskning krävs alltid etikgodkännande, oavsett om den enskilde har lämnat sitt samtycke till behandlingen eller inte. Om personuppgifterna har samlats in från någon annan källa än den registrerade, ska den personuppgiftsansvarige enligt 24 § PUL lämna den registrerade information om behandlingen av upp- gifterna när de registreras. Information behöver dock inte lämnas om detta visar sig vara omöjligt eller skulle innebära en oproportio- nerligt stor arbetsinsats. När etikprövningsnämnderna godkänner användningen av käns- liga personuppgifter kan de enligt 6 § etikprövningslagen förenas med villkor, till exempel med avseende på samtycke och information. Nämnderna har alltså att bedöma vad som ska gälla enligt 24 § PUL. Praxis synes vara att inte ställa krav på inhämtande av samtycke när det handlar om användning36 av registeruppgifter, särskilt inte anony- miserade uppgifter. Det har emellertid förekommit att etikpröv- ningsnämnder har ställt krav på att forskare ska annonsera om sina forskningsprojekt för att ge dem som inte önskar delta i projektet37 möjlighet att dra sig ur. Jag har i kapitel 6 diskuterat denna fråga. Vid behandling av identifierbara uppgifter får etikprövnings- nämnden göra en avvägning i varje enskilt fall. Det ankommer på nämnden att pröva om man för behandlingen ska kräva samtycke från de berörda eller om det kan ske utan samtycke. Även när det gäller studier på biologiskt material som har tagits från en levande människa ska nämnden vid etikgodkännande av ett forsk- ningsprojekt bestämma vilka krav som ska gälla i fråga om informa- tion och samtycke. 36Peter , , föredrag på . 37Se avsnitt 6.10. Bakgrund, nuläge och utmaningar SOU 2014:45 Forskningsprojekt som inte kan etikprövas VR har i rapporten forskningssed konstaterat att forsknings- projekt som inte faller under etikprövningslagen inte kan godkännas av etikprövningsnämnd, men att någon form av etikgranskning i många fall ändå efterfrågas även för sådana projekt. Det kan krävas inför en ansökan om medel från nationella eller internationella forsk- ningsfinansiärer eller för att få publicera resultatet av forskningen i vissa vetenskapliga tidskrifter. I sådana fall kan en etikprövnings- nämnd avge ett så kallat rådgivande yttrande (4 a § förordningen (2003:615) om etikprövning av forskning). Att avge ett sådant yttrande är emellertid endast en möjlighet för nämnden, inte en skyldighet. Enligt rapporten har det i vissa fall lett till allvarliga konsekvenser för forskares möjligheter till finansiering eller publi- cering när en nämnd har nekat att avge yttrande. Det bedöms därför vara önskvärt att det införs en lagstadgad skyldighet för etikpröv- ningsnämnderna att avge yttranden till dem som så önskar – eller att detta åtminstone blir praxis. I Etikprövningslagen – vissa ändringsförslag (SOU 2005:78) före- slogs att denna möjlighet skulle skrivas in i etikprövningslagen och att de aktuella bestämmelserna därmed skulle utgå ur förordningen.39 Någon sådan ändring skedde emellertid inte när etikprövningslagen ändrades 2008. Uppgifter som skyddas av sekretess med olika styrka kan lämnas ut till forskning. Även uppgifter som skyddas av statistiksekretess och av hälso- och sjukvårdens sekretessregler kan lämnas ut för forsk- ningsändamål om det står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider skada eller men (24 kap. 8 § respektive 25 kap. 1 § OSL).40 Det är den myndighet som förvarar en allmän handling, i detta sammanhang den register- hållande myndigheten som enligt Tryckfrihetsförordningen (TF) har att självständigt pröva om utlämnandet kan ske (2 kap. 14 § TF).41 I förarbetena till den tidigare sekretesslagen görs bedömningen att utlämnande till forskning ofta kan ske utan skada för den som upp- 38God forskningssed, rapportserie 1:2011. 39SOU 2005:78 s. 74 f. 40Se avsnitt 5.6.3.5. 41Se avsnitt 5.6.3.2. Bakgrund, nuläge och utmaningar gifterna avser.42 När det gäller biobanker är det den ansvarige för biobanken som prövar ansökningar om utlämnande av vävnads- prover, men denne får lämna över frågan till huvudmannen (i regel eller regionen) för avgörande.43 De uppgifter som är aktuella att lämna ut från statliga myndig- heter är ofta uppgifter som samlats in för statistiska ändamål. Det gäller uppgifter som finns hos SCB och andra statistikansvariga myn- digheter såsom , och Brottsföre- byggande rådet (BRÅ).44 För att kunna lämna ut uppgifter som skyddas av statistik- eller hälso- och sjukvårdssekretess måste den utlämnande myndigheten (som kan vara till exempel en statlig myndighet men också ett lands- ting som är huvudman för ett kvalitetsregister) således förvissa sig om att det står klart att det kan ske utan risk för att den enskilde som uppgifterna avser eller närstående till denna ska lida skada eller men. Det kräver att myndigheten vet för vilket ändamål uppgifter- na lämnas ut och till vem. Den ska inte heller enligt 9 § PUL lämna ut fler uppgifter än vad som är nödvändigt med hänsyn till ända- målet. När det gäller konkreta forskningsprojekt är ändamålet i regel inte något problem, särskilt inte om projektet har fått ett etikgodkännande som bara kan ges till specifika projekt. När uppgifter begärs ut till en forskningsdatabas avsedd för olika framtida forsk- ningsprojekt är saken mer komplicerad. Jag återkommer till den frågan nedan i avsnitt 8.4. När det gäller till vem uppgifterna lämnas ut är mottagaren i regel det universitet eller den högskola där den forskare, som be- höver uppgifterna, är anställd. Det är eller högskolan som efter utlämnandet är personuppgiftsansvarig, inte den enskilde forskaren. Den utlämnande myndigheten måste alltså känna sig förvissad om att skydd och säkerhet fungerar hos det mottagande lärosätet. Det kan i sammanhanget noteras att Statistik och Institut i har auktoriserat ett antal institu- tioner vars forskare ganska enkelt kan få fjärråtkomst till uppgifter. Prövningen sker där alltså inte projektvis, utan av institutioner och gäller . Institutionerna i fråga är i regel inte hela läro- säten utan kan vara exempelvis forskningsinstitutioner inom uni- 42Se avsnitt 5.6.3.6. 434 kap. 1 § biobankslagen. 44De statistikansvariga myndigheterna redovisas på webbportal, . Bakgrund, nuläge och utmaningar versitet och andra organisationer. Ett par hundra institutioner är på detta sätt auktoriserade. SCB lämnar numera företrädesvis ut uppgifter genom MONA- systemet. Systemet innebär att forskaren kan koppla upp sig mot och bearbeta uppgifterna från sin lokala arbetsplats men att uppgifterna finns kvar hos SCB. Förebilden till finns på Statistik som också har goda erfarenheter av ett sådant system för fjärråtkomst. I kan andra statistikansva- riga myndigheter också tillhandahålla uppgifter genom MONA- systemet (se mer om sambearbetning nedan under 8.3.3). Det gäller dock inte som av olika skäl inte överlämnar data till SCB. deltar dock i den utvärdering som VR har initierat beträffande MONA-systemet och där möjlig- heterna ska prövas att införa ett motsvarande system hos styrelsen. Det kan nämnas att Institut i , som tillhanda- håller uppgifter av samma slag som , har ett sådant system i bruk. En särskild problematik gäller vid så kallade bortfallsanalyser. Vid urvalsundersökningar är det regelmässigt en grupp som inte önskar delta. Vid såväl statistiska undersökningar som forskning är det angeläget att kunna analysera bortfallet, det vill säga att kunna jäm- föra dem som deltagit med dem som inte gjort det, för att få en uppfattning om hur representativ den grupp är som har svarat. Regeringen har i förarbetena till lagen om den officiella statistiken konstaterat att bortfallsanalyser ska kunna göras eftersom det bedöms vara ett allmänintresse att åstadkomma statistiska undersökningar av hög kvalitet. Samma behov finns inom forskningen. Analysen får i dessa fall emellertid inte baseras endast på känsliga uppgifter utan man får ofta nöja sig med att använda de uppgifter som finns i den så kallade urvalsramen, såsom ålder, kön och bostadsort. Datainspek- tionen har bedömt att om en undersökning har gjorts efter sam- tycke, till exempel om forskningspersonerna har svarat på frågor från en forskare, så förutsätter en bortfallsanalys att de som inte velat delta samtycker till den.45 Som jag strax ska återkomma till har 45 Rättsliga förutsättningar för en databasinfrastruktur för forskning, rapport- serie, 11:2010, s 63. Bakgrund, nuläge och utmaningar emellertid regeringen i ett principiellt viktigt avgörande gjort en annan bedömning på denna punkt. Ett beslut från en statlig myndighet att inte lämna ut en handling till en annan statlig myndighet kan överklagas till regeringen. Om beslutet avser en privat högskola sker överklagandet till Kammar- rätten och ytterst . Ett motsvarande beslut hos ett landsting att inte lämna ut en uppgift överklagas på samma sätt. Ett beslut av den ansvarige för en biobank hos en offentlig vårdgivare att inte lämna ut vävnadsprover ska överlämnas till vårdgivaren för beslut (4 kap. 6 § biobanklagen). Vårdgivarens beslut kan överklagas till (6 kap. 7 § biobankslagen). Det finns skäl att uppmärksamma tre ärenden om uppgifts- utlämnande från myndigheter som har varit före- mål för regeringsbeslut respektive dom.46 Det första avsåg en begäran från att få ut uppgifter för att kunna göra en bortfallsanalys. Inom ramen för ett forskningsprojekt om en åldrande befolknings hälsa och ekonomi (SHARE47) hade man vänt sig till ett antal personer för att göra intervjuer. begärde att från få ut vissa uppgifter ur hälsodataregister om dels de individer som hade del- tagit i intervjuerna, dels dem som hade valt att inte delta. Syftet med de sistnämnda uppgifterna var just att kunna göra en bortfallsanalys, det vill säga att kunna bedöma hur representativ den grupp var som hade valt att delta. hade avvisat begäran att få ut de uppgifter som krävdes för bortfallsanalysen, det vill säga uppgifter- na om de personer som hade valt att inte delta i undersökningen. Myndigheten bedömde ett sådant utlämnande som etiskt tveksamt och ur sekretessynpunkt felaktigt.48 Det andra ärendet avsåg en begäran från att få ut vissa registeruppgifter från SCB om resultat, betyg och klas- 46Regeringsbeslut Dnr S2009/10484/HS; Regeringsbeslut Dnr Fi2011/2648, Kammarrätten i , dom , Mål nr 4465-12. 47SHARE (Survey of Health, Ageing and Retirement in Europe) är ett europeiskt projekt, ett s.k. (se nedan under 8.3.3.2). har deltagit från starten men projektet har haft sin hemvist vid olika svenska universitet. När det här beskrivna fallet var aktuellt låg SHARE vid . finns det vid . 48Petra har i mail redovisat att erbjöd att göra en viss bortfallsanalys, men uppenbarligen bedömde erbju- dandet som otillräckligt och överklagade i stället till regeringen. Bakgrund, nuläge och utmaningar ser för skolelever. Uppgifterna skulle användas i en longitudinell studie för att studera effekter av skoltillhörighet på skolresultat och elevers psykiska hälsa samt skolornas arbete med elever som behöver extrainsatser. Forskarna hade i ett tidigare skede försökt att samla in uppgifter direkt från berörda individer men fick ett otillräckligt gen- svar. De valde då att i stället göra en renodlad registerstudie. Forsk- ningsprojektet hade även med denna nya design godkänts av den regionala etikprövningsnämnden. SCB ansåg emellertid att upp- gifterna inte kunde lämnas ut utan att samtycke hade inhämtats från varje elev. I bägge fallen biföll regeringen överklagandena och beslöt således att respektive SCB skulle lämna ut de begärda upp- gifterna. I besluten angavs i huvudsak följande skäl: En myndighet ska på begäran av en annan myndighet lämna upp- gift som den förfogar över om inte uppgiften är sekretessbelagd eller det skulle hindra arbetets behöriga gång. Bestämmelsen är ett uttryck för den grundläggande principen att myndigheter ska samverka och bistå varandra i den utsträckning som det kan ske. För de uppgifter som hade begärts gäller sekretess hos myndig- heterna. Men även sådana uppgifter kan om de behövs för forsk- ningsändamål lämnas ut om det står klart att det kan ske utan att den enskilde eller någon närstående till denne lider skada eller men. Enligt förarbetena till sekretesslagen kan en uppgift mycket ofta lämnas ut till forskare utan beaktansvärd risk för skada. Vid utlämnande överförs sekretessen till . Uppgifterna kunde därför lämnas till universiteten utan att någon enskild eller närstående till denne lider skada eller men. Att berörda personer i fallet med hade tackat nej till att delta i personliga intervjuer inom ramen för forsk- ningsprojektet bedömdes inte ha någon omedelbar relevans för bedömningen av huruvida registeruppgifter kunde lämnas till forskningsprojektet, särskilt inte när det gällde uppgifter som samlats in i syfte att användas för bland annat forskning. De aktuella forskningsprojekten hade godkänts av regionala etik- prövningsnämnder och det kunde därför inte antas att de på universiteten skulle behandlas i strid med PUL. Bakgrund, nuläge och utmaningar Här bör särskilt uppmärksammas att regeringen, mot bakgrund av att sekretessen automatiskt följer med vid utlämnande av uppgifter från en myndighet till en annan myndighets forskningsverksamhet, bedömer att riskerna för att enskilda ska lida skada eller men vid utlämnande av personuppgifter till forskning är mycket små. Rege- ringen har också bedömt att kan begära ut uppgifter om personer som inte önskat delta i en undersökning för att kunna göra en bortfallsanalys. När forskningen har fått godkännande av etikprövningsnämnd kan man inte heller anta att uppgifterna kom- mer att behandlas i strid med PUL. Det kan också noteras att regeringen åberopar bestämmelsen att myndigheter ska samarbeta och bistå varandra i den utsträckning det kan ske. Detta gäller således även vid samverkan mellan till exempel statistikansvariga myndig- heter och statliga högskolor, som ju också är myndigheter. Det tredje fallet avser en begäran från KI om utlämnande av uppgifter ur blodcentralens register i . – 2004 samlade forskare vid KI in data från landets blodcentraler i syfte att studera korttids- och långtidsutfall efter blodgivning och blodtransfusion. Vid analysen av data upptäckte KI att en förhållande- vis liten grupp blodgivare hade bidragit med blod till ett opropor- tionerligt stort antal blodmottagare som utvecklat allvarliga och ovanliga lungkomplikationer med hög dödlighet som följd. För att kunna identifiera de personer som hade drabbats av komplikationer- na och de aktuella blodgivarna önskade KI göra om datainsamlingen och därvid få tillgång till identifierbara uppgifter. Man ville genom journalgranskning, blodanalyser med mera utreda varför en del av blodmottagarna drabbas av komplikationer och om det var möjligt att identifiera potentiellt farliga blodgivare för att på så sätt hindra onödiga dödsfall . ansåg sig förhindrad att lämna ut uppgifterna, som var av känslig karaktär. hade visserligen god- känt forskningen, men ansåg inte att nämnden hade något lagligt stöd för beslutet eftersom det ansågs handla om att samla in uppgifter till ett forskningsregister som ska användas för opreciserad framtida forskning.49 Kammarrätten i avvisade emellertid invändningen och åberopade, liksom regeringen i de ovan nämnda ärendena, vad som anförs i förarbetena till sekre- tesslag att sekretessbelagda uppgifter mycket ofta torde kunna lämnas ut till forskning utan beaktansvärd risk för skada. 49 använder således här begreppet forskningsregister för det som i den här utred- ningen kallas forskningsdatabas. Bakgrund, nuläge och utmaningar menade således att bestämmelsen i 25 kap. 1 § OSL inte hindrar att uppgifterna lämnas ut. Det kan noteras att Kammarrätten inte fann invändning att det rörde sig om en forskningsdata- bas vägande. Rätten fann också att det sätt KI avsåg att behandla uppgifterna inte stod i strid med PUL. Här kan noteras att Kammarrätten fäste stor vikt vid att sekre- tessen följer med när uppgifter överlämnas från till KI och att det förhållandet att etikprövningsnämnden godkänt forsk- ningen innebar att uppgiftsbehandlingen inte stod i strid med PUL. Såväl regeringen som Kammarrätten tar således etikprövningsnämn- dens godkännande till intäkt för att personuppgiftsbehandlingen på universiteten inte kommer att stå i strid med PUL. Enligt 31 § PUL ska den personuppgiftsansvariga vidta lämpliga tekniska och organi- satoriska åtgärder för att skydda de personuppgifter som behandlas. Åtgärderna ska åstadkomma en säkerhetsnivå som är lämplig med beaktande av bland annat de särskilda risker som finns vid behand- lingen av personuppgifterna. I etikansökan ska eller högskolan redogöra för vilken tillgänglighet datamaterialet har och hur det förvaras samt hur erforderligt sekretesskydd erhålls. Någon närmare prövning härav torde normalt inte göras av etikprövnings- nämnderna utan de godtar i regel universitetens och högskolornas försäkringar om att de kan hantera uppgifterna enligt lagens krav. När regeringen och Kammarrätten åberopar etikprövningen i sam- manhanget faller den således ytterst tillbaka på dessa försäkringar från de personuppgiftsansvariga universiteten och högskolorna.50 Datainspektionen genomförde tillsyn av ett antal projekt hos universitet och högskolor. Tillsynen avsåg dock inte i första hand säkerhetsarrangemangen utan vilken information som hade lämnats till forskningspersoner från vilka forskarna hade in- hämtat uppgifter.51 50Se vidare avsnitt 8.3.4 nedan. 51Datainspektionen Beslut , Dnr 1147--1165-2011 Bakgrund, nuläge och utmaningar Enligt lagen om officiell statistik har statistikansvariga myndigheter möjlighet att använda en så kallad kodnyckel vid utlämnande av upp- gifter. Uppgifterna utlämnas i detta fall anonymiserade, där person- numren ersatts med löpnummer, medan myndigheten behåller en kodnyckel som kan koppla ihop löpnumren och personnumren. På det sättet är det möjligt att senare komplettera de utlämnade upp- gifterna. Möjligheten har tillkommit framförallt för att möjliggöra longitudinella studier av det slag som beskrivs i kapitel 4.52 Om det särskilt överenskoms mellan forskaren och utlämnande myndighet kan kodnyckeln behållas , men finns inte någon sådan överenskommelse förstörs den rutinmässigt . Det innebär att om forskaren först kom- mer fram till att uppgifterna behöver kompletteras eller om andra forskare vill replikera studien, kanske med tillägg av vissa uppgifter, låter det sig inte göras. Det skäl för att förstöra kodnyckeln som åberopas av utläm- nande myndigheter, i första hand SCB, är att ett bibehållande skulle öka riskerna för integritetsintrång. Argumentet är dock, enligt min mening, inte särskilt starkt. Kodnyckeln bevaras hos myndigheten med samma säkerhetsskydd som de personuppgifter som finns där. Att kodnyckeln finns kvar innebär inte någon skyldighet för myn- digheten att lämna ut fler uppgifter. Varje utlämnande måste prövas enligt OSL. Det kan noteras att vid Statistik behålls kodnyckeln rutinmässigt . I gjorde man en stor satsning på re- gisterforskning. En särskild rådgivande grupp inrättades hos forsk- ningsministern. Ett avtal ingicks med Statistik om att förbättra servicen till forskare, dels genom teknisk utveckling, dels genom utbyggnad av en servicefunktion på myndigheten. En motsva- rande utveckling har skett på Institut. Den danska satsningen har varit framgångsrik. Trots att befolkningsmässigt är betydligt mindre än överstiger antalet användare av Statistiks MONA-system antalet använ- dare av SCB:s. har nått stora framgångar när det gäller 52 Se avsnitt 4.4.7 och avsnitt 5.7.2. Bakgrund, nuläge och utmaningar