sou · H2B345 · 2014-06-25 00:00:00 — Bestämmelsen har ändrats på så sätt att sekretessen ska gälla om uppgiften avser enskilds per- sonliga förhållande, annars . Fjärde stycket är nytt och definierar vad som avses med forsk- ning i paragrafen. Forskning definieras i bestämmelsen på samma sätt som i etikprövningslagen. Enligt 2 § etikprövningslagen avses med forskning vetenskapligt experimentellt eller teoretiskt arbete för att inhämta ny kunskap och utvecklingsarbete på vetenskaplig grund, dock inte sådant arbete som utförs inom ramen för högskole- utbildning på grundnivå eller på avancerad nivå. Bestämmelsen behandlas i avsnitt 9.3. Paragrafen anger i vilka fall den tystnadsplikt som följer av sekre- tessbestämmelser i kapitlet inskränker rätten att meddela och offent- liggöra uppgifter som följer av bestämmelser i tryckfrihetsförord- ningen och yttrandefrihetsgrundlagen. Paragrafen har ändrats så att även den tystnadsplikt som följer av 1 § inskränker rätten att meddela och offentliggöra uppgifter. Ändringen behandlas i avsnitt 9.3.13. Paragrafen innehåller ett antal sekretessbrytande bestämmelser som medger utlämnande av uppgifter för vilka gäller hälso- och sjuk- vårdssekretess enligt 1 §. Bestämmelsen har ändrats så att sekretess enligt 1 § inte heller hindrar att uppgift lämnas till register som förs med stöd av lagen (0000:00) om . Ändringen behandlas i avsnitt 9.5.14.20. Paragrafen, som är ny, innehåller i första stycket en bestämmelse om så kallad absolut sekretess i verksamhet som avser förande av eller uttag ur register som förs med stöd av lagen (0000:00) om . Sekretessen gäller för uppgift om enskilds hälso- tillstånd eller andra personliga förhållanden. Andra stycket innehåller undantag från sekretessen. Uppgifter får lämnas ut i den utsträckning som framgår av lagen. Det innebär att uppgifter får lämnas ut för att säkerställa spårbarhet för vävnads- prover i sådan verksamhet som avses i 1 kap. 3 § lagen (2002:297) om biobanker i hälso- och sjukvården m.m. i syfte att möjliggöra vård och behandling av den registrerade, forskning, kvalitetssäkring och framställning av statistik samt förstörande eller avidentifiering av vävnadsprover när den registrerade har återkallat sitt samtycke. Utlämnande får dock endast ske om det står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider men. Personuppgifter får också lämnas ut om det finns en skyldig- het enligt lag att göra det. I tredje stycket anges att sekretessen gäller i högst . Bestämmelsen behandlas i avsnitt 9.5.14.20. Paragrafen anger i vilka fall den tystnadsplikt som följer av sekre- tessbestämmelser i kapitlet inskränker rätten att meddela och offent- liggöra uppgifter som följer av bestämmelser i tryckfrihetsförord- ningen och yttrandefrihetsgrundlagen. Första stycket har ändrats så att även den tystnadsplikt som följer av 15 a § inskränker den grundlagsskyddade rätten att meddela och offentligöra uppgifter. Ändringen behandlas i avsnitt 9.5.14.20. 12.4Förslaget till lag om ändring av patientsäkerhetslagen (2010:659) Paragrafen innehåller bestämmelser om tystnadsplikt för den som tillhör eller har tillhört hälso- och sjukvårdspersonal inom den en- skilda hälso- och sjukvården. Andra stycket är nytt och innehåller en bestämmelse som innebär att tystnadsplikt enligt första stycket inte hindrar att uppgift lämnas till register som förs med stöd av lagen (0000:00) om . Lagen (2002:297) om biobanker i hälso- och sjukvården är tillämplig på vårdgivare i såväl allmän som privat regi. För personal inom den enskilda sjukvåden gäller genom bestämmel- ser i patientsäkerhetslagen samma tystnadsplikt som för personal inom den allmänna sjukvåden. För att det ska vara möjligt att över- lämna uppgifter om enskildas hälsotillstånd och andra personliga förhållanden från den enskilda sjukvåden till Nationella biobanks- registret krävs en bestämmelse med undantag från den lagstadgade tystnadsplikten. Syftet med bestämmelsen är således att möjliggöra utlämnande av uppgifter från enskilda vårdgivare till . Ändringen behandlas i avsnitt 9.5.14.20. 12.5Förslaget till lag om forskningsdatabaser Paragrafen anger lagens tillämpningsområde. Av första stycket framgår att lagen gäller sådan behandling av per- sonuppgifter som utförs av statliga universitet och högskolor som omfattas av högskolelagen (1992:1434)samt andra statliga myndig- heter som har i uppdrag att bedriva forskning och som behandlas för de ändamål som anges i lagen. Lagen är vidare endast tillämplig vid de angivna myndigheternas behandling av personuppgifter för ändamålet att skapa underlag för olika forskningsprojekt och lämna ut uppgifter till forskningsprojekt, under förutsättning att såväl forsk- ningen som behandlingen av uppgifterna i projektet har godkänts enligt lagen (2003:460) om etikprövning av forskning som avser män- niskor. Syftet med lagen är att möjliggöra för statliga universitet och högskolor samt andra statliga myndigheter som har i uppdrag att bedriva forskning att skapa databaser med personuppgifter som ska kunna användas i olika ännu inte definierade forskningsprojekt. Utanför lagens tillämpningsområde faller således behandling som utförs av sådana universitet och högskolor som anges i första stycket, men som ingår i ett visst forskningsprojekt som har godkänts enligt lagen om etikprövning av forskning som avser människor. Enligt andra stycket gäller lagen om behandlingen är helt eller delvis automatiserad. Lagen gäller vidare vid viss behand- ling av personuppgifter, nämligen om uppgifterna ingår eller är av- sedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. behandling av personuppgifter som inte ingår i eller är avsedda att ingå i en samling som är tillgänglig för sökning eller sammanställning enligt särskilda kriterier, så kallat ostrukturerat material enligt 5 a § personuppgiftslagen (1998:204), faller utanför lagens tillämpningsområde. Av tredje stycket följer att i de fall personuppgifter samlas in direkt från den enskilde får personuppgifter behandlas endast om han eller hon har fått viss information och därefter lämnat sitt uttryckliga samtycke till behandlingen. I de fall personuppgifter inhämtas direkt från den enskilde, till exempel genom enkäter eller andra frågefor- mulär, kan det vanligtvis antas att uppgiftslämnandet sker med den enskildes samtycke. Genom att merverka lämnar ju personen ett i vart fall underförstått samtycke. Det bör i dessa sammanhang dock vara tydligt om den enskilde har lämnat samtycke och vad sam- tycket omfattar. I de fall uppgifter samlas in direkt från den enskilde föreskrivs därför krav på uttryckligt samtycke. Med samtycke avses i detta sammanhang detsamma som i personuppgiftslagen (1998:204), det vill säga varje slag av frivillig, särskild och otvetydig viljeyttring genom vilken den registrerade, efter att ha fått information, godtar behandling av personuppgifter som rör honom eller henne. Att sam- tycket ska vara uttryckligt innebär att viljeyttringen ska lämnas på ett tydligt iakttagbart sätt. Samtycket behöver inte avges skriftligt, men ur bevishänseende kan det vara lämpligt att dokumentera att samtycke lämnats och vad det omfattar. Bestämmelsen behandlas i avsnitt 9.4.7. Paragrafen innehåller definitioner av vissa begrepp. Med forskningsdatabas avses i lagen en databas (uppgiftssam- ling) med uppgifter som samlas in från enskilda individer eller från myndighetsregister och som är en nationell infrastruktur för att till- handahålla uppgifter till flera olika framtida forskningsprojekt. En forskningsdatabas ska enligt lagens definition kunna innehålla både personuppgifter som samlats in direkt från enskilda till genom till exempel undersökningar, och uppgifter som hämtats från andra myndigheters register, till exempel eller Statistiska centralyråns (SCB) befolkningsregister. En forsk- ningsdatabas ska också kunna innehålla båda dessa typer av upp- gifter. Att en databas är en nationell infrastruktur innebär att den är avsedd att utgöra en nationell resurs för forskning och vara utformad så ett den kan utgöra en tillgång för forskare i hela landet. En forskningsdatabas ska också ha till syfte att utgöra underlag för olika framtida ännu inte definierade forskningsprojekt. Utanför lagens definition faller således forskningsregister som har skapats för ett visst projekt, en del av ett projekt eller en på liknande sätt bestämd forskning som enligt 6 § lagen (2003:460) om etikprövning av forskning som avser människor kan godkännas av en etikpröv- ningsnämnd. Med forskning avses i lagen detsamma som enligt lagen om etikprövning av forsning, det vill säga vetenskapligt experimentellt eller teoretiskt arbete för att inhämta ny kunskap och utvecklings- arbete på vetenskaplig grund, dock inte sådant arbete som utförs inom ramen för högskoleutbildning på grundnivå eller avancerad nivå. Bestämmelsen behandlas i avsnitten 9.4.4 och 9.4.16. I bestämmelsen regleras lagens förhållande till personuppgiftslagen (1998:204). I paragrafen anges att personuppgiftslagen ska gälla vid behandling av personuppgifter enligt lagen, om inte annat följer av lagen. Definitionerna i 3 § personuppgiftslagen gäller således även vid tillämpning av lagen om inte annat anges. Bestämmelsen behandlas i avsnitt 9.4.10. I paragrafen anges att de statliga myndigheter som utför behand- lingen av personuppgifter är personuppgiftsansvariga. De myndig- heter som kan bli aktuella som personuppgiftsanvariga är enligt 1 § statliga universitet och högskolor samt andra statliga myndigheter som har i uppdrag att utföra forskning. Personuppgiftsansvarig är den som ensam eller tillsammans med andra bestämmer ändamålen för och medlen för behandlingen av personuppgifter. Den person- uppgiftsansvariga har vidare ansvar för att bestämmelserna i lagen och tillämpliga bestämmelser i personuppgiftslagen följs. Bestämmelsen behandlas i avsnitt 9.4.11. I paragrafen anges de primära ändamål för vilka personuppgifter får behandlas enligt lagen. Det första ändamålet är att skapa underlag för olika forsknings- projekt. Syftet med behandlingen ska således inte vara att skapa underlag för ett visst, redan definierat projekt utan att samla in upp- gifter som kan utgöra underlag för olika framtida forskningsprojekt. Med begreppet skapa underlag avses olika former av behandlingar som krävs för att föra en välfungerande databas, såsom insamling, registrering, bevarande och uppdatering av personuppgifter. Det andra primära ändamålet är att lämna ut uppgifter till forsk- ningsprojekt. Utlämnande får bara ske under förutsättning att pro- jektet godkänts enligt 6 § lagen (2003:460) om etikprövning av forskning som avser människor. Godkännande krävs oavsett vilken typ av personuppgifter som ska behandlas, det vill säga även om behandlingen inte omfattar känsliga personuppgifter enligt 13 § eller uppgift om lagöverträdelser med mera enligt 21 § personupp- giftslagen (1998:204). Bestämmelsen utvidgar således etikprövnings- lagens tillämpningsområde. Uppgifter i en forskningsdatabas får lämnas ut både till forsk- ningsprojekt som drivs av en statlig myndighet och till forsknings- projekt i enskild regi. Bestämmelsen behandlas i avsnitt 9.4.13. I paragrafen anges de sekundära ändamålen med behandlingen. I första stycket anges att uppgifter som behandlas för de ändamål som anges i 5 § också får lämnas ut till en utredning av oredlighet i forskning eller för att ett yttrande ska kunna lämnas i samband med en sådan utredning. Det huvudsakliga syftet med en forskningsdata- bas enligt lagen ska vara att göra det möjligt att bygga upp databaser som kan utgöra underlag för forskningsprojekt och att lämna ut uppgifter till sådana projekt. För att möjliggöra granskning av sådana projekt som använder personuppgifter från en forskningsdatabas krävs att utlämnande får ske även till en högskola eller ett univer- sitet som genomför en utredning om misstanke om oredlighet i forskning. Bestämmelsen möjliggör också lämnande av uppgifter till för att nämnden enligt 1 kap. 16 § högskoleförordningen (1993:100) ska kunna avge yttrande i samband med en sådan utredning. I de fall granskningen sker genom annan forskning, exempelvis replikation av tidigare utförd forskning, gäller bestämmelserna i 5 §. I andra stycket anges att personuppgifter som har registrerats med stöd av lagen alltid får lämnas ut till den registrerade själv. Detta följer redan av bestämmelserna i personuppgiftslagen (1998:204) men anges för tydlighets skull uttryckligen i lagen. Bestämmelsen är dock inte tillämplig när det gäller personuppgifter som inte direkt kan hänföras till en person. I sådana fall är det inte möjligt för den registerhållande myndigheten att identifiera vilka uppgifter som hör till en viss person. Bestämmelserna behandlas i avsnitt 9.4.17. I första meningen anges att personuppgifter som behandlas för de ändamål som anges i 5 § utöver vad som anges i 6 § får lämnas ut om det finns en skyldighet i lag att göra det. Skyldighet att lämna ut uppgifter kan uppkomma genom bestämmelser i annan lagstiftning. Reglerna om allmänna handlingar och offentlighetsprincipen har till exempel företräde framför bestämmelserna i personuppgiftslagen (1998:204). Utlämnande av uppgifter med stöd av bestämmelserna i tryckfrihetsförordningen kan alltså ske utan hinder av personupp- giftslagen (8 § personuppgiftslagen). Ett annat exempel är skyldighet att enligt 43 § personuppgiftslagen lämna uppgifter i samband med Datainspektionens tillsyn av personuppgiftsbehandlingen. Även vissa särskilda registerförfattningar innehåller bestämmelser om uppgifts- skyldighet. För att inte tveksamhet ska uppkomma anges i lagen att uppgifter får lämnas ut från en forskningsdatabas om det finns en skyldighet i lag att göra det. Bestämmelsen gäller alla typer av uppgifter, även känsliga personuppgifter enligt 13 § och uppgift om lagöverträdelser med mera enligt 21 § personuppgiftslagen. Av andra meningen framgår genom en hänvisning till personupp- giftslagen att den så kallade finalitetsprincipen gäller vid person- uppgiftsbehandling enligt lagen. Enligt principen, som framgår av 9 § första stycket d personuppgiftslagen, får personuppgifter inte lämnas ut för något ändamål som är oförenligt med det för vilket uppgifterna samlades in. Av andra stycket samma bestämmelse följer att behandling av personuppgifter för historiska, statistiska eller vetenskapliga ändamål inte ska anses oförenlig med de ändamål för vilka uppgifterna samlades in. Bestämmelsen medför att uppgifter i en forskningsdatabas alltid får behandlas för historiska, statistiska och vetenskapliga ändamål, oavsett för vilket ändamål uppgifterna ursprungligen samlades in. Dock gäller de krav på personuppgifts- behandlingen som i övrigt följer av personuppgiftslagen och lagen (2003:460) om etikprövning av forskning som avser människor. Bestämmelsen behandlas i 9.4.17. I paragrafen anges att uppgifter som hämtats från andra myndig- hetsregister för de ändamål som anges i 5 § får behandlas under förutsättning att uppgifterna inte direkt kan hänföras till en person. Undantag gäller om regeringen eller den myndighet regeringen be- stämmer har meddelat föreskrifter om att behandling av identifier- bara uppgifter får ske. Enligt bestämmelsen ska uppgifter som inhämtats från myndig- hetsregister i syfte att skapa underlag för olika forskningsprojekt och lämna ut uppgifter till forskningsprojekt enligt 5 § som huvudregel vara anonymiserade. Forskare har i de flesta fall inget behov av att kunna identifiera enskilda individer. Av integritetsskäl bör därför utgångspunkten vara uppgifterna inte direkt ska gå att hänföra till enskilda individer. Det kan dock finnas situationer där identifiering av enskilda individer är nödvändig för forskningen. Det kan till exempel handla om forskning där forskaren behöver kunna jämföra uppgifter i journaler med registeruppgifter eller där enskilda ska kontaktas. Regeringen, eller den myndighet som regeringen bestäm- mer, kan meddela föreskrifter om i vilka fall det ska vara möjligt att behandla identifierbara personuppgifter som härrör från ett myndig- hetsregister. Bestämmelsen behandlas i 9.4.14. I första stycket anges att i de fall de personuppgifter som lämnas ut från en forskningsdatabas inte direkt kan hänföras till en enskild ska den personuppgiftsansvarige i samband med utlämnandet förse uppgifterna med en beteckning som hos myndigheten kan kopplas till personnummer eller motsvarande identitetsbeteckning. En för- teckning över vilken beteckning som hör samman med vilken person ska sedan sparas hos den utlämnande myndigheten efter det att den upprättats. Den myndighet som är ansvarig för forsknings- databasen är således skyldig att vid utlämnande av anonymiserade uppgifter förse uppgifterna med en särskild beteckning, ett löpnum- mer. Förteckningen över vilken beteckning som motsvarar vilken individ, en så kallad kodnyckel, ska sparas för att möjliggöra upp- datering av materialet i ett forskningsprojekt. Kodnyckelförfarandet ska också möjliggöra för en annan forskningshuvudman att bygga vidare på eller granska det forskningsprojekt som kodnyckeln ursprungligen skapades för. Det kan förekomma longitudinella studier som pågår längre än . När kodnyckeln bevarats kan tiden för bevarandet därför förlängas av den myndighet som bevarar den eller på ansökan av forskningshuvudman som använder uppgifter som kodnyckeln är kopplad till. Enligt andra stycket ska i de fall en uppgift rättats, blockerats eller utplånats i forskningsdatabasen den personuppgiftsansvariga myndigheten vidta de åtgärder som behövs för att uppgifterna ska kunna ändras hos den som uppgifterna lämnats ut till. I de fall kodade personuppgifter har lämnats ut till ett forskningsprojekt har forsk- ningshuvudmannen inte själv möjlighet att på begäran av den registre- rade rätta, blockera eller utplåna uppgifter om den registrerade. Bestämmelsen medför en skyldighet för den myndighet som är an- svarig för forskningsdatabasen att vidta de åtgärder som krävs för att uppgifterna ska kunna ändras hos forskningshuvudmannen. Enligt tredje stycket behöver den som har fått personuppgifter enligt första stycket inte lämna information till den registrerade om att uppgifter behandlas, om den som behandlar uppgifterna inte själv har möjlighet att vidta någon åtgärd för att identifiera den registre- rade. Inte heller behöver den som behandlar uppgifterna på begäran av den registrerade rätta, blockera eller utplåna uppgifter. Enligt 24 § personuppgiftslagen (1998:204) ska den personuppgiftsansva- riga självmant lämna den registrerade information om behandlingen, om personuppgifterna samlas in från någon annan källa än den re- gistrerade själv. Det följer vidare av 28 § personuppgiftslagen att den personuppgiftsansvarige är skyldig att på begäran av den re- gistrerade rätta, blockera eller utplåna sådana personupp- gifter som inte har behandlats med stöd av personuppgiftslagen eller föreskrifter som har utfärdats med stöd av personuppgiftslagen. Bestämmelsen i tredje stycket fastställer att undantag från dessa bestämmelser ska göras i de fall forskningshuvudmannen inte själv kan identifiera den registrerade. Bestämmelserna behandlas i avsnitt 9.4.18. I paragrafen anges att en forskningsdatabas endast får innehålla de uppgifter som behövs för de ändamål för vilka personuppgifter får behandlas enligt 5 §. Uppgifter som inte kan hänföras till databasens ändamål är inte tillåtna. Det är inte möjligt att förutse vilka typer av uppgifter som kom- mer att behöva registreras i de forskningsdatabaser som kan bli aktu- ella att skapa med stöd av lagen. Innehållet i forskningsdatabasen har därför knutits till det ändamål som forskningsdatabasen upp- rättas för. I den förordning som kommer att finnas för varje forsk- ningsdatabas bör databasens ändamål och innehåll specificeras. forskningsdatabas får således innehålla endast uppgifter som behövs för den forskning som anges närmare i databasens förordning. Bestämmelsen behandlas i avsnitt 9.4.19. I paragrafen anges att endast de uppgifter som anges i 10 § får användas som sökbegrepp i ett forskningsregister. I vissa särskilda registerförfattningar finns begränsningar i vilka begrepp som får användas som sökbegrepp. Dessa begränsningar har oftast införts av integritetsskäl. För att en forskningsdatabas ska vara ändamålsenlig bör dock sökning kunna göras på alla de begrepp som enligt 10 § får registreras i databasen. Skyddet av den enskildes integritet ska i stället beaktas vid valet av vilka uppgifter som ska få registreras och de övriga säkerhetsåtgärder som ska vidtas i sam- band med behandlingen av personuppgifter. Bestämmelsen behandlas i avsnitt 9.4.20. Paragrafen reglerar utlämnande genom direktåtkomst. Med direktåtkomst avses att någon har elektronisk åtkomst till någon annans databas och kan genomföra sökning efter information i databasen utan att den som är ansvarig för databasen har kontroll över vilka uppgifter som mottagaren tar del av. Direktåtkomst inne- bär dock inte att mottagaren har möjlighet att påverka innehållet i databasen. Paragrafen innebär ett förbud mot att genom sådan direkt- åtkomst lämna ut personuppgifter från forskningsdatabaser som förs med stöd av lagen. Förbudet gäller både utlämnande till andra myndigheter och till en annan självständig verksamhetsgren inom den registerförande myndigheten. Bestämmelsen behandlas i avsnitt 9.4.21. Paragrafen innehåller ett förbud mot att behandla uppgifter som inte direkt kan hänföras till en person i syfte att röja en persons identitet. Uppgifter i en databas som förs med stöd av denna lag ska som huvudregel lämnas ut i anonymiserad form. Även om uppgifterna är anonymiserade kan det genom så kallad bakvägsidentifiering ändå vara möjligt att identifiera enskilda personer i ett material. Så är till exempel fallet om en forskare har tillgång till ett flertal variabler, till exempel ålder, kön och yrke, och att det genom att lägga sam- man dessa variabler går att utröna vilken individ som ligger bekom de anonymiserade uppgifterna. Bestämmelsen innehåller ett förbud mot behandling av personuppgifter som syftar till att röja en persons identitet. Sådant avslöjande som sker oavsiktligt är således inte straffbart. Bestämmeseln gäller endast vid utlämnande av uppgifter som inte direkt kan hänföras till den enskilde. Bestämmelsen behandlas i avsnitt 9.4.22. Paragrafen innehåller en bestämmelse om intern elektronisk åtkomst. Bestämmelsen innebär att den personuppgiftsansvarige ska begränsa sina anställdas och uppdragstagares elektroniska åtkomst till person- uppgifter till vad var och en behöver för att kunna utföra sina arbets- uppgifter när det gäller forskningsdatabasen. Det kan till exempel avse uppgiften att inhämta nya uppgifter till forskningsdatabasen, lämna ut uppgifter från forskningsdatabasen eller sköta uppgifter som rör gallring och arkivering. Bestämmelsen har sin utgångspunkt i resonemanget att integritets- risken blir större ju fler personer inom en organisation som har till- gång till en personuppgift. Syftet med bestämmelsen är att definiera vem som får behandla uppgifter i databasen och för vilka ändamål för att på så sätt förhindra att uppgifterna behandlas av ett större antal personer än nödvändigt. I 30–32 §§ personuppgiftslagen (1998:204) finns ytterligare be- stämmelser om säkerhet vid behandling som ska beaktas. Av dessa bestämmelser framgår bland annat att den eller de personer som arbetar under den personuppgiftsansvariges ledning bara får behandla personuppgifter i enlighet med instruktioner från den personupp- giftsansvarige. Det framgår också att den personuppgiftsansvarige ska vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas.