sou · H2B345 · 2014-06-25 00:00:00 — Register- hållande myndigheter anser sig emellertid med hänvisning till OSL och PUL förhindrade att lämna ut uppgifter till databaser där syftet är att uppgifterna ska användas till olika ännu inte specificerade forsk- ningsprojekt. Det finns således ett behov av ett tydligt stöd för ut- lämnande av uppgifter till en forskningsdatabas för framtida forsk- ning. Eftersom insamlandet och bevarandet av känsliga personuppgifter i databaser för framtida forskning inte alltid kan få stöd genom ett godkännande av en etikprövningsnämnd och eftersom registerhål- lande myndigheter anser sig förhindrade att lämna ut uppgifter till en forskningsdatabas för framtida forskning krävs en särskild regle- ring av behandlingen av personuppgifter i forskningsdatabaser. Enligt dataskyddsdirektivet är det möjligt för medlemsstaterna att besluta om andra undantag från förbudet att behandla känsliga personuppgifter än genom samtycke om det sker med hänsyn till ett viktigt allmänt intresse (artikel 8.4). Sådana undantag ska anmälas till Europeiska kommissionen (artikel 8.6). 34 i direktivets in- ledning anges bland annat forskning som ett viktigt allmänt intresse. En förutsättning är emellertid att lämpliga skyddsåtgärder vidtas. Ett grundläggande krav på en reglering som medger behandling av personuppgifter, däribland känsliga personuppgifter, i en forsknings- databas är att uppgifterna omgärdas med ett skydd som från inte- gritetssynpunkt är tillfredsställande. Som framgått tidigare finns både nationell och internationell reglering på området som måste beaktas. 37 Centrala etikprövningsnämndens beslut , dnr Ö 28-2010. Se även beslut 2009- 05-29, dnr Ö 11-2009. Det är viktigt att ta ställning till vem som ska kunna få uppgiften att hålla en forskningsdatabas för framtida forskning. Den ska bara kunna bli aktuell om ändamålet är att använda uppgifterna i bety- delsefull forskning. Uppgifterna bör omgärdas av stark sekretess. Från integritetssynpunkt är det också viktigt att ta ställning till på vilka villkor och i vilken form uppgifter ska få lämnas ut. Bestämmelsen i 2 kap. 6 § andra stycket RF innebär att behandling av information om enskildas personliga förhållanden som sker utan den enskildes samtycke, som innebär övervakning eller kartlägg- ning av den enskilde och som innebär ett betydande intrång i den personliga integriteten måste anges i lag. Bestämmelsen trädde i kraft . Skyddet för den personliga integriteten i RF kompletteras av arti- kel 8 i . Enligt bestämmelsen har var och en rätt till respekt för sitt privat- och familjeliv, hem och korrespon- dens. Denna rätt får inskränkas endast med stöd av lag och i den utsträckning det i ett demokratiskt samhälle är nödvändigt med hänsyn till statens säkerhet, den allmänna säkerheten, landets eko- nomiska välstånd eller till förebyggande av oordning eller brott eller till skydd för hälsa eller moral eller för andra personers fri- och rättig- heter. Offentliga myndigheters behandling av personuppgifter kan, beroende på omständigheterna, utgöra ingrepp i respekten för privat- liv enligt artikel 8 andra stycket . Så länge en forskningsdatabas endast består av uppgifter som sam- lats in direkt från enskilda, och därmed också med forskningsper- sonens samtycke, faller den utanför grundlagsbestämmelsens tillämp- ningsområde. Jag menar dock att det ska vara möjligt att bygga upp forskningsdatabaser också med uppgifter som hämtats från andra myndighetsregister. I många sådana fall är det praktiskt omöjligt att begära in samtycke från samtliga forskningspersoner. Frågan är om sådana forskningsdatabaser ska anses falla under tillämpnings- området för bestämmelsen i 2 kap. 6 § andra stycket RF och artikel 8 i . I så fall skulle som huvudregel krävas en reglering i lag. Det skulle i praktiken innebära att det skulle krävas en ny lag för varje enskild forskningsdatabas. Som jag har utvecklat närmare i kapitel 6 anser jag dock att forskningsdatabaser inte rimligen kan anses utgöra ett så betydande intrång i den personliga integriteten att det kräver en särskild lag för varje forskningsdatabas. Personuppgifterna i forskningsdatabasen ska inte användas vid myndighetsutövning och syftet med behandlingen av personupp- gifterna är inte att kunna vidta åtgärder mot enskilda individer. Forskarna är vanligtvis ointresserade av de enskilda personerna då syftet är att studera mönster i en viss population. De uppgifter som samlats in ska få lämnas vidare endast för ändamålen att användas i forskningsprojekt eller granskning av forskning. En jämförelse kan här göras med lagen om behandling av personuppgifter vid utvärdering (IFAU). Den behandling av personuppgifter som IFAU har behov av att ut- föra för att fullgöra sitt uppdrag kan, enligt lagens förarbeten, i sig inte anses innebära ett sådant betydande intrång i den personliga integriteten att det av den anledningen krävs att behandlingen reg- leras i lag.38 Detta motiveras med att behandlingen till stor del avser anonymiserade personuppgifter för forskningsändamål. Eftersom det inte finns något krav på lag skulle föreskrifter om forskningsdatabaser kunna regleras av regeringen genom förordning. Innan bestämmelsen i 2 kap. 6 § andra stycket RF infördes har frågan om hur myndigheters personuppgiftsbehandling ska regleras berörts i flera lagstiftningsärenden. I propositionen om offentlighet, integritet och ADB uttalade regeringen att en målsättning borde vara att i de fall register med ett stort antal registrerade och ett känsligt innehåll inrättas ska bestämmelser meddelas i form av lag.39 Denna målsättning har bekräftats i senare lagstiftningsarbete.40 En forskningsdatabas för framtida forskning kommer att kunna innehålla uppgifter om ett stort antal personer och ett stort antal personuppgifter, även känsliga sådana. Min slutsats är därför att en reglering som möjliggör personuppgiftsbehandling i forsknings- databaser bör ske i lagform. 2011/12:176 s. 19 f. 1990/91:60 s. 58. 1990/91:KU 11 s. 11, bet. 1997/98: KU18 s.43, prop. 1997/98:44 s. 41 och prop. 1999/2000:39 s. 78. Se även t.ex. prop. 1997/98:108 s. 39, prop. 2009/10:80 s. 183 och prop. 2011/12:176 s. 20. 9.4.3Hur bör en lagreglering avseende forskningsdatabaser utformas? En lagreglering som har till syfte att möjliggöra behandling av per- sonuppgifter som ska användas i framtida forskningsprojekt kan utformas på olika sätt. Ett sätt som nämnts är att stifta en särskild registerlag för varje forskningsområde. Ett sådant exempel är lagen om vissa register för forskning om vad arv och miljö betyder för människors hälsa, ett annat lagen (2012:741) om behandling av personuppgifter vid IFAU. Metoden att stifta en särskild lag för varje register har dock betydande nackdelar. Sådana författningar reglerar ofta i detalj vilken information som får behandlas, vilka som får ha tillgång till uppgifterna och hur de får användas, vilket kan få till följd att systemändringar, till exempel på grund av ändringar i verksamheten eller den tekniska utvecklingen, måste föregås av motsvarande ändringar i registerlagen. Ett system med lagreglering av varje enskild forskningsdatabas kan således lätt bli stelbent och innebära svårigheter att anpassa bestämmelserna efter det verkliga behovet hos dem som ska an- vända uppgifterna för forskning. Detta gäller till exempel lagen om rättspsykiatriskt forskningsregister, vars syfte är att tillgodose behovet av personuppgifter för forsknings- och utvecklingsändamål inom rättspsykiatrin. Enligt uppgift från sker inte längre någon registrering av uppgifter, bland annat eftersom de uppgifter som enligt lagen får registreras inte är de som behövs för att besvara de frågeställningar som forskarna har. En lämplig modell för författningsreglering är i stället en gemen- sam övergripande lag som kombineras med föreskrifter från rege- ringen i form av en särskild förordning för varje enskild forsk- ningsdatabas. Den övergripande lagen, lämpligen kallad lagen om forskningsdatabaser, ska dra upp ramen för vad som kan regleras i form av förordning. Lagen ska också reglera de förhållanden som är gemensamma för samtliga sådana databaser och vars syfte är att skyd- da forskningspersonernas personliga integritet, det vill säga regler för ändamål, innehåll, sökbegrepp, direktåtkomst, intern elektro- nisk tillgång, gallring och villkor för utlämnande av uppgifter från forskningsdatabasen. De förhållanden som tas upp i lagen kan regle- ras mer i detalj i en förordning för respektive forskningsdatabas. I förordningarna kan också förhållanden som är specifika för varje databas regleras. 9.4.4Vad är en forskningsdatabas? Lagen bör innehålla en definition av vad en forskningsdatabas är. Med forskningsdatabas avses en databas (uppgiftssamling) med uppgifter som samlas in från enskilda individer eller från myndig- hetsregister och som är en nationell infrastruktur för att tillhanda- hålla uppgifter till flera olika framtida forskningsprojekt. 9.4.5Vilka forskningsdatabaser behövs? Det är lämpligt att VR ges uppgiften att bereda frågan om vilka forskningsdatabaser som kan behövas i och gör en fram- ställning till regeringen härom. Regeringen får sedan pröva om införandet av de föreslagna databaserna faller inom ramen för vad som är tillåtet enligt 2 kap. 6 § RF, artikel 8 andra stycket i Europa- konventionen och PUL, och om så är fallet och regeringen i övrigt finner förslagen lämpliga, besluta om de förordningar som närmare ska reglera verksamheten. Behov av forskningsdatabaser som ska fungera som underlag i framtida forskning kan uppkomma inom alla forskningsområden och spännvidden av de ändamål som be- handlingen kan komma att utövas för är därför stor. Det kommer således finnas ett behov att anpassa bestämmelserna till varje en- skild forskningsdatabas. 9.4.6Bör etikprövningslagens tillämpningsområde utvidgas? Lagen om vissa register för forskning om vad arv och miljö betyder för människors hälsa innebär att universitet och högskolor ges möjlighet att skapa underlag för olika forskningsprojekt om vad arv och miljö betyder för uppkomsten och utvecklingen av olika sjuk- domar och för människors hälsa i övrigt. Personuppgifter som regi- strerats för detta ändamål får lämnas ut till forskningsprojekt under förutsättning att såväl forskningen som behandlingen av personupp- gifter har godkänts enligt etikprövningslagen. Datainspektionen har anfört att lagen innebär en ingripande nyordning på forsknings- området eftersom det innebär att insamling av känsliga personupp- gifter för forskningsändamål i många fall inte längre kommer att behöva etikprövas.41 Etikprövning kommer i stället att göras först 2012/2013:163 s. 27. när uppgifterna ska börja användas i ett visst forskningsprojekt. Rege- ringen anför i propositionen att den inte delar Datainspektionens uppfattning att lagen innebär en genomgripande nyordning. Som exempel på liknande registerförfattningar anges lagen om hälsodata- register, hälsodataregisterförordningarna och lagen om behandling av personuppgifter vid IFAU, som samtliga ger stöd för uppbyg- gande av särskilda register för framtida forskningsändamål. Vidare framförs att uppgifter i , som enligt lagen (2002:297) om biobanker i hälso- och sjukvåden m.m. samlas in efter samtycke av barnets vårdnadshavare, enligt samma lag får användas för bland annat klinisk forskning. Det konstateras att etikprövning görs först när uppgifter från ovan nämnda register ska användas i konkreta forskningsprojekt. Det kan tilläggas att denna princip också gäller för insamling av uppgifter i kvalitetsregister och biobanksregister. Som framgår av utredningsdirektiven har fråga uppkommit om det vore lämpligt att vidga etikprövningslagens tillämpningsområde så att det inte endast avser ett visst projekt eller del av ett projekt utan också omfattar uppbyggnaden av infrastrukturer. Som jag kon- staterat i kapitel 8 är det dock inte en lämplig lösning. Problemet att registerhållande myndigheter inte anser sig kunna lämna ut upp- gifter till databaser där syftet är att uppgifterna ska användas till olika ännu inte specificerade forskningsprojekt kommer att kvarstå. Den beredning som VR förutsätts göra och den prövning som sedan regeringen gör inför en ny databasförordning kan förutsättas inne- hålla etiska överväganden av det slag som utförs av en etikpröv- ningsnämnd. Regeringen har i denna process möjlighet att inhämta åsikter från till exempel , SCB och Datainspektionen för att på detta sätt belysa förslagets etiska aspekter. Jag menar därför att etikprövningsnämndens tillämpningsområde inte bör utvidgas till att omfatta även skapandet av forsknings- databaser. 9.4.7Vilken behandling ska lagen omfatta? Lagen ska gälla behandling av personuppgifter som sker för ända- målen att skapa underlag för och lämna ut uppgifter till olika forsk- ningsprojekt som har godkänts enligt lagen (2003:460) om etik- prövning av forskning som avser människor. Lagen ska gälla för behandling av personuppgifter som är helt eller delvis automatiserad. Av avsnitt 5.3.4.4 framgår vad som avses med helt eller delvis auto- Lagen ska också avse även annan behandling av personuppgifter om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier, det vill säga i ett register enligt PUL:s definition (se avsnitt 5.3.4.4. Jag har tidigare konstaterat att forskningsdatabaser ska kunna innehålla både personuppgifter som samlas in direkt från enskilda och uppgifter från myndighetsregister. Om uppgifterna samlas in direkt från enskilda kan det antas att det sker med personens sam- tycke. Den enskilde kan ju välja att inte besvara frågorna i exempel- vis en enkät. För att det inte ska uppstå tveksamhet om den enskilde har lämnat sitt samtycke och vad den enskilde har samtyckt till menar jag att finns skäl att införa krav på uttryckligt samtycke till behandlingen i de fall uppgifterna samlas in direkt från den enskilde. Med samtycke avses här detsamma som enligt PUL, det vill säga varje slag av frivillig, särskild otvetydig viljeyttring genom vilken den registrerade, efter att ha fått information, godtar behandling av personuppgifter som rör honom eller henne. Att samtycket ska vara uttryckligt innebär att det ska kommit till uttryck på något sätt som är möjligt för en utomstående att iaktta. Det är viktigt att den en- skilde förstår vad han eller hon samtycker till och vad följden kan bli. Innan den enskilde lämnar sådant samtycke ska han eller hon därför ha fått viss information som framgår av lagen. Den enskilde kan i detta sammanhang samtycka till att kompletterande uppgifter om honom eller henne inhämtas från olika register. Datainspektionen har i ärendet avseende gjort bedömningen att framtida forskning är ett alltför brett ändamål och har ifrågasatt om ett samtycke till ett sådant oprecist ändamål är förenligt med 10 § och 15 §§ PUL.42 När det gäller behandling av känsliga personuppgifter ställs stora krav på den information som ska föregå samtycket. Bland annat måste ändamålet vara tillräckligt preciserat i den information som lämnas. Datainspektionen ansåg inte att det kravet var uppfyllt i det aktuella ärendet. Ändamålet en- ligt den här föreslagna lagen är relativt brett (se avsnitt 9.4.13 och 9.4.17). Mitt förslag är dock att ändamålen bör preciseras i de särskilda förordningar som ska finnas för varje forskningsdatabas. Jag menar att det ska vara möjligt att lämna samtycke för behand- ling av personuppgifter för relativt breda ändamål. 42 Datainspektionens beslut dnr 766-2011. kunna avse forskning för de ändamål som anges i databasernas förordningar. Ett samtycke måste alltid kunna återkallas. Enligt 12 § PUL inne- bär ett återkallande av samtycke att ytterligare personuppgifter om den registrerade därefter inte får behandlas. Bestämmelsen i PUL gäller enligt sin ordalydelse endast samtycken som lämnats enligt . Det bör därför anges särskilt att 12 § PUL är tillämplig för samtycken som lämnats i enlighet med lagen om forsk- ningsdatabaser. Att 12 § PUL är tillämplig innebär att ytterligare uppgifter om den registrerade inte får behandlas efter det att samtycket återkallats. Redan insamlade uppgifter får dock behandlas även fortsättnings- vis, enligt det ursprungliga samtycket. Sedan samtycket återkallats får uppgifterna dock inte uppdateras eller kompletteras. När det gäller uppgifter som inte samlas in direkt från den en- skilde är situationen en annan. I vissa fall finns det möjlighet att inhämta den enskildes samtycke innan registrering i forskningsdata- basen sker. I många fall torde detta inte vara möjligt, till exempel när det rör sig om väldigt många uppgifter eller i de fall de uppgifter som hämtas från ett myndighetsregister lämnas ut i kodad form. kan det finnas skäl för att behandling enligt lagen ska vara tillåten även om den enskilde motsätter sig det. Så har till exempel skett i 2 § lagen (2012:741) om behandling av personuppgifter vid IFAU. Bestämmelserna om behandling av personuppgifter som in- hämtas från någon annan källa än den enskilde får genom bestäm- melser i förordning anpassas till varje enskild forskningsdatabas. 9.4.8Vilka ska få föra forskningsdatabaser? Bestämmelser om statliga universitet och högskolor finns i högskole- lagen (1992:1434) och högskoleförordningen (1993:100). När det gäller offentlighet och sekretess lyder de statliga högskolorna och universiteten under samma regler som andra statliga myndigheter. Således gäller bestämmelserna om rätten att ta del av allmänna hand- lingar enligt 2 kap. 1 § TF och möjligheten att begränsa denna rätt genom OSL även dessa högskolor och universitet. 9.4.8.2Möjlighet för statliga myndigheter att bygga upp databaser för framtida forskning Det kan, liksom i förarbetena till lagen om vissa register för forsk- ning om vad arv och miljö betyder för människors hälsa, konstateras att de register som har varit föremål för osäkerhet förs vid statliga högskolor och universitet.43 Behovet av att kunna bygga upp data- baser för olika framtida forskningsprojekt har bekräftats vid mina kontakter med olika statliga universitet och högkolor. Nästa fråga är om det är lämpligt att statliga högskolor och uni- versitet får möjlighet att bygga upp register för att kunna använda för framtida forskning. Datainspektionen har uttryckt farhågor för att integritetsskyddsfrågorna inte kommer att tas tillräckligt på allvar om den ansvarige för personuppgiftsbehandlingen av databasen även är den som har direkt nytta av personuppgiftsbehandlingen i form av till exempel forskning, anslagsmedel med mera. Såväl de person- uppgiftsansvariga universiteten och högskolorna som de enskilda forskarna har starka incitament att bevaka integritetsfrågorna. Vidare föreslår jag skärpta sekretessregler för data som behandlas för forsk- ningsändamål. Jag menar också att den föreslagna regleringen med en ramlag med gemensamma bestämmelser till skydd för den enskildes inte- gritet och en specifik reglering för varje register genom förordning innebär att forskarnas behov av tillgång till registerdata noga vägs mot integritetshänsyn. Med ett sådant system kommer regeringen att ges möjlighet att bedöma om det lärosäte som föreslås få etablera en forskningsdatabas uppfyller de krav på säkerhet och kvalitet som kan ställas i detta sammanhang. Regeringen bör också vid ut- formandet av förordningen för varje enskilt register så långt möjligt specificera för vilka ändamål behandling av personuppgifter i data- basen får ske och ange vilka kategorier av personuppgifter som får registreras i databasen. I förordning kan också regleras vilka regler som ska gälla för intern hantering av uppgifter och regler för ut- lämnande av uppgifter ur registret för att på så sätt definiera vilken behandling av uppgifterna som är tillåten. Vidare ska för utläm- nande ur en forskningsdatabas krävas att personuppgiftsbehandling har godkänts vid en prövning enligt etikprövningslagen. Samman- fattningsvis menar jag att den prövning som kommer att föregå in- rättandet av en forskningsdatabas, bestämmelserna i lagen som tar sikte på att skydda den enskildes integritet samt omständigheten 2012/13 :163 s. 28. att uttag ur databasen kommer att kräva ett godkännande av etik- prövningsnämnden medför att integritetsskyddsfrågorna kommer att beaktas. De statliga högskolor och universitet som omfattas av högskolelagen bör således få möjlighet att behandla personupp- gifter i forskningsdatabaser i syfte att uppgifterna ska få användas i framtida forskningsprojekt. Behov att bygga upp databaser med uppgifter som kan användas för framtida forskning kan uppkomma även hos andra statliga myndigheter som har till uppgift att bedriva forskning. Exempel på sådana myndigheter är BRÅ och IFAU. Även sådana myndigheter bör kunna vara ansvariga för forskningsdatabaser enligt den före- slagna lagen. 9.4.8.3Möjlighet för andra än statliga myndigheter att bygga upp forskningsdatabaser för framtida forskning TF och OSL gäller för myndigheter. För privata forskningsorgan gäller däremot som huvudregel inte bestämmelserna om offentlig- het och sekretess i TF och OSL. För sådana organ gäller således inte offentlighetsprincipen och de behöver inte heller följa de regler som gäller för utlämnande och sekretess enligt OSL. Skyddet för uppgifter om enskilda i forskning som genomförs i privat regi är beroende av att tystnadsplikt gäller i verksamheten. För uppgifter inom enskilt bedriven forskning finns inte, som till exempel inom privat hälso- och sjukvård, några generellt tillämpliga bestämmelser om tystnadsplikt. 10 kap. 14 § OSL stadgar att om en myndighet finner att sådan risk för skada, men eller annan olägenhet som enligt en bestämmel- se om sekretess hindrar att en uppgift lämnas ut till enskild kan undanröjas genom ett förbehåll ska myndigheten göra ett sådant förbehåll när uppgiften lämnas ut till den enskilde. Bestämmelsen innebär att en myndighet kan lämna ut sekretessbelagda uppgifter till enskild, till exempel en forskare som bedriver forskning i privat regi, med ett förbehåll som begränsar den enskildes rätt att lämna uppgiften vidare eller utnyttja den och som innebär att den som tar emot uppgiften har tystnadsplikt. På detta sätt kan således vidare utlämning av personuppgifter som härrör från myndigheter begrän- sas. Någon motsvarande möjlighet finns inte för uppgifter som den enskilde forskaren själv samlat in. Privata forskningsorgan väljer själva hur de bygger upp sitt in- tegritetsskydd och när och hur utlämnande av handlingar får ske. I sammanhanget bör dock betonas att PUL gäller både statlig och privat verksamhet. Vidare finns inom de flesta forskningsområden etiska riktlinjer som ska följas för att få finansiering av till exempel forskningsråd. Som framförts tidigare finns det starka incitament för en forskningsorganisation att upprätthålla ett starkt sekretesskydd för uppgifter inom forskningsverksamhet. Det kan konstateras att ett privat forskningsorgan kan ha bestämmelser som är strängare än vad TF och OSL medger, men det behöver inte vara så. För att upp- nå samma sekretesskydd för privata verksamheter som för statliga universitet och högskolor krävs särskild lagstiftning. Innan det kan bli aktuellt för forskningshuvudmän inom enskilt bedriven forsk- ning att bygga upp forskningsdatabaser menar jag att det bör finnas någon form av grundläggande krav på tystnadsplikt inom forskning i privat regi. Så länge inte något sådant grundskydd finns anser jag att de forskningsdatabaser som här föreslås endast ska få byggas upp av statliga universitet och högskolor samt av statliga myndigheter som har till uppgift att bedriva forskning. 9.4.9Finansiering och utvärdering av forskningsdatabaser Som ovan anförts bör VR ha ansvar för beredningen av vilka stat- liga myndigheter som ska få bygga upp forskningsdatabaser enligt den föreslagna lagen.