sou · H4B341 · 2016-06-07 00:00:00 — I många fall där känsliga personuppgifter enligt 13 § person uppgiftslagen kommer att hanteras, men där forskarna inte har någon direkt kontakt med personerna, vilkas uppgifter ska undersökas i projektet, tillåter etikprövningsnämnderna att forskning bedrivs utan att de enskilda ges någon information om att deras uppgifter används i forskningen och utan att deras samtycke behöver inhämtas. inleds ett stort antal forskningsprojekt i landet. Exempel- vis avgjordes totalt 5 636 ärenden i de regionala etik- prövningsnämnderna.9 Forskningen kan bedrivas av företag, av stat- liga eller kommunala myndigheter eller av andra slags organisationer. Inom forskningen är internationella samarbeten inte ovanliga, vilket även kan innebära att personuppgifter från delas med forskargrupper i andra länder.10 7 Det vill säga, att tillstånd krävs om det rör sig om personuppgifter enligt 13 eller 21 §§ personuppgiftslagen. 8 Tillstånd krävs om det rör sig om forskning som 1. innebär ett fysiskt ingrepp på en forsk- ningsperson, 2. utförs enligt en metod som syftar till att påverka forskningspersonen fysiskt eller psykiskt eller som innebär en uppenbar risk att skada forskningspersonen fysiskt eller psykiskt, 3. avser studier på biologiskt material som har tagits från en levande människa och kan härledas till denna människa, 4. innebär ett fysiskt ingrepp på en avliden människa, eller 5. avser studier på biologiskt material som har tagits för medicinskt ändamål från en avliden människa och kan härledas till denna människa. 9 Budgetpropositionen 2016, förslag till statens budget , finansplan och skattefrågor, prop. 2015/16:1. 10 t.o.m. som handelsvara i utbyte mot ekonomiskt stöd för forskningsgrupperna: En rapport framtagen för regeringen och SKL inleds med ett fiktivt scenario där betalar bl.a. för att få tillgång till uppgifter från svenska kvalitetsregister. Guldgruvan i hälso- och sjukvården, Förslag till gemensam satsning 2011–2015, författad av . Upplägget med forskningsfinansiering i utbyte mot data är en realitet. Det fiktiva i scenariot är bidragets och satsningens omfattning. I rapporten beskrivs hur svenska register kan användas för att locka industriinvesteringar till . Ett annat, natio- nellt exempel på data som ekonomisk tillgång inom hälso- och sjukvården och forskningen, är statens ersättning till vårdgivare för varje patient som registreras i vissa kvalitetsregister. I EU:s dataskyddsdirektiv behandlas både statistikverksamhet och forskning särskilt fördelaktigt. Dessa verksamheter ges undantag från vissa av de grundläggande kraven på behandlingen, t.ex. beträf- fande hur länge uppgifter får sparas och möjligheten att använda uppgifter för nya ändamål. Bägge dessa undantag förutsätter dock att medlemsstaterna beslutar om eller vidtar lämpliga skyddsåtgärder. Direktivets bestämmelser i detta hänseende har genomfört i genom i första hand personuppgiftslagen (1998:204). Personuppgiftsbehandling i samband med sådan forskning eller statistikframställning som behandlas i detta kapitel, regleras av ett flertal bestämmelser i olika lagar, vilka i huvudsak är: •lagen (2003:460) om etikprövning av forskning som avser männi skor, •lagen om den officiella statistiken, •lagen (1998:543) om hälsodataregister, •lagen (2013:794) om vissa register för forskning om vad arv och miljö betyder för människors hälsa. Beroende på vilken slags forskning eller statistikframställning det är frågan om, kan personuppgifter hanteras under vitt skilda förutsätt- ningar; alltifrån helt utan den enskildes vetskap, till att det krävs ett uttryckligt och informerat samtycke från varje forskningsperson. Något förenklat kan sägas att forsknings- och statistikprojekt regleras av personuppgiftslagen och lagen om etikprövning av forsk- ning som avser människor. För uppbyggnaden av mer permanenta datakällor krävs stöd i särskild författning, såsom ovan nämnda lagar eller den särskilda lagen för bildningspolitisk utvärdering som berörs nedan – lagen (2012:741) om behandling av personuppgifter vid utvärdering. 10.3Risker för den personliga integriteten Datainspektionen har granskat en rad forsk- ningsprojekt, en forskningsdatabas och flera författningsförslag angå- ende upprättandet av permanenta forsknings- eller statistikdatabaser. När det gäller forskningsprojekt, har Datainspektionens tillsyn visat att det inte sällan förekommer brister i forskningsprojekt av seende hur forskningshuvudmännen informerar de personer som in- går i forskningen om hur deras uppgifter kommer att användas och vilka rättigheter de har. Det framkom i slutredovisning och av ett flertal tillsynsärenden.11 Ett särskilt upp- märksammat ärende hos Datainspektionen rörde ett klagomål från en förälder vars 11-åriga dotter hade deltagit i en forskningsstudie som bedrevs i skolan av ett universitet, utan att vårdnadshavarna hade informerats eller lämnat sitt samtycke. I forskningsstudien samlades det in både personuppgifter och hårstrån från barnen i skolan . Datainspektionen fann att universitet behandlade person- uppgifter i strid med personuppgiftslagen.12 Datainspektionens till- syn visar också att det i forskningsprojekt kan råda osäkerhet om vem som är ytterst ansvarig för de personuppgifter som samlas in (slutredovisning av bred tillsynsinsats).13 I tillsynen av en forskningsdatabas vid (den s.k. Lifegene-databasen) kom Datainspektionen fram till att insamlingen av personuppgifter måste upphöra eftersom ändamålen med databasen var för otydliga och därmed inte uppfyllde person uppgiftslagens krav. Enligt personuppgiftslagen måste den som registreras i den här typen av databaser få reda på hur personuppgifterna som samlas in kommer att användas och därefter ge sitt medgivande till att uppgifterna registreras. I den aktuella databasen hade man an givit att syftet var att använda uppgifterna för ”framtida forskning”, vilket Datainspektionen ansåg inte gav de medverkande personerna någon reell möjlighet att bilda sig en uppfattning om hur uppgifterna 11 Forskningsprojekt dåliga på att informera, Datainspektionen 2012, press/nyheter/2012/forskningsprojekt-daliga-pa-att-informera/ Hämtat . Samt Tydligare information krävs vid forskningsstudier, Datainspektionen 2015, forskningsstudier/ Hämtat . 12 Datainspektionens beslut i dnr 1938-2010. 13 Forskare lyssnar på Datainspektionen men har inte alltid koll på ansvarsfrågan, Datainspek tionen 2011, inspektionen-men-har-inte-alltid-koll-pa-ansvarsfragan/ Hämtat . faktiskt skulle komma att användas och spridas. Ändamålet var därför för allmänt hållet. Datainspektionen menade också att register som har som ambition att omfatta stora delar av befolkningen brukar regleras i särskilda författningar (registerförfatt- ningar) vid sidan av såväl den tidigare datalagen som personuppgifts lagen. På grund av sådana registers omfattning eller känsliga innehåll har det ansetts rimligt att eller regeringen ska få ta ställning till såväl inrättandet av registren som omfattningen.14 Med anledning av Datainspektionens granskning, beslutade riks- dagen om en tidsbegränsad speciallagstiftning i syfte att möjliggöra allmänna forskningsdatabaser: lagen om vissa register för forskning om vad arv och miljö betyder för människors hälsa. Av lagen framgår bl.a. att personuppgifter får behandlas för ändamålen att skapa underlag för olika forskningsprojekt om vad arv och miljö betyder för uppkomsten och utvecklingen av olika typer av sjuk domar och för människors hälsa i övrigt. I frågan om förlängning av den tidsbegränsade speciallagstift- ningens giltighet, har Datainspektionen yttrat sig kritiskt.15 Det som Datainspektionen anför, är i huvudsak att ändamålsbestämmelserna i den aktuella lagen inte är förenliga med dataskyddsdirektivets krav på att ändamål ska vara särskilda och uttryckligt angivna. Data inspektionen stöder sin ståndpunkt på ett uttalande från Artikel- 29-gruppen, enligt vilket ”framtida forskning” vanligtvis är en för allmänt hållen ändamålsformulering. I sammanhanget har Data inspektionen även lyft fram att möjligheten till att upprätta allmänna forskningsdatabaser innebär att datainsamling för forskningsända- mål i många fall inte längre kommer att behöva prövas av en etik- prövningsnämnd. Forskare kan i stället samla in uppgifter utan god- kännande. Först i ett senare skede, när uppgifterna ska börja användas i ett visst forskningsprojekt kommer det att behövas ett etikgodkän- nande. Det innebär i praktiken en ändring av den hittillsvarande ord- ningen att etikprövningsnämnderna även ska pröva om och i så fall hur personuppgifter får samlas in från forskningspersonerna. Trots Datainspektionens invändningar, beslutade att lagen om vissa register för forskning om vad arv och miljö betyder för människors hälsa, som gällde till utgången av 2015, ska fortsätta att 14 Datainspektionens beslut i dnr 766-2011. 15 Datainspektionens beslut om yttrande i dnr 596-2015. gälla till och med . I ett register enligt den tid begränsade lagen, får det endast ingå personuppgifter som den en- skilde själv har lämnat i syfte att uppgifterna ska ingå i registret. som den tidsbegränsade lagstiftningens giltighet för- längts, har lämnat ett betänkande med förslag till permanent reglering av forskningsdatabaserna.16 Till skillnad mot den nu gällande, tidsbegränsade lagstiftningen (där sam- tycke är ett villkor för all hantering) ska det enligt förslaget vara möj- ligt för statliga myndigheter att utan stöd av samtycke, utan att någon information lämnas till de enskilda och utan godkännande av en etik- prövningsnämnd, samla in och lagra känsliga uppgifter från en rad olika datakällor. I betänkandet ges exempel på den uppsjö av myndighetsregister från vilka uppgifter skulle kunna inhämtas till de forskningsdatabaser som förslaget skulle möjliggöra. Här nämns bl.a. myndigheternas register för administrativa ändamål, såsom skatte registret med taxerade och pensionsgrundande inkomster, Centrala register över personer som får studiestöd eller har studieskulder och socialförsäkringsdatabas med uppgifter om olika förmåner och bidrag. Vidare nämns de regis- ter som finns hos SCB och de 26 andra statistikansvariga myndig heterna som har i uppdrag att producera officiell statistik. Hos dessa hanteras, som framgått ovan, uppgifter om bl.a. hushållens ekonomi (inkomster och inkomstfördelning, hushållens utgifter), uppgifter från hälso- och sjukvården (hälsa och sjukdomar, dödsorsaker), upp- gifter från rättsväsendet (uppgifter om brott, kriminalvård, återfall i brott) m.m. I remissbehandlingen av betänkandet, avstyrkte Datainspektionen förslaget, med motiveringen att det inte är förenligt med 2 kap. 6 § andra stycket regeringsformen. Förslaget riskerar enligt Datainspek- tionen att leda till betydande integritetsintrång genom att tillåta om- fattande insamling av personuppgifter utan att ändamålen är tillräck- ligt specificerade och utan att kräva integritetsskyddande åtgärder som uppväger integritetsintrånget. Vidare anförde Datainspektionen att förslaget innebär att alla typer av personuppgifter kommer att kunna samlas in för forskningsändamål som inte är tydligt avgränsade 16 Unik kunskap genom registerforskning, SOU 2014:45. Förslaget möjliggör därmed enligt Datainspek tionen en närgången kartläggning av enskildas privatliv, familjeförhål- landen, sjukdomshistoria, arbetsliv, brottsuppgifter m.m. När det gäller statistikdatabaser, har Datainspektionen uttryckt oro för att vissa myndigheter vill bygga upp egna samlingar med upp- gifter om medborgarna för forskningsändamål, parallellt till de sam- lingar som redan finns hos de statistikansvariga myndigheterna. Ett exempel på detta är politisk utvärdering (IFAU) som t.o.m. fått ett särskilt lagstöd för egna samlingar av känsliga personuppgifter. Från början var lagstödet tidsbegränsat men det gäller numera tills vidare. I sitt remissvar till lagförslaget ifrågasatte Datainspektionen IFAU:s behov av att bygga upp egna samlingar av personuppgifter som redan bevaras med lag- stöd hos andra myndigheter t.ex. SCB och Arbetsförmedlingen. Det var enligt Datainspektionens mening inte önskvärt ur integritets- skyddssynpunkt att statliga myndigheter bygger upp parallella sam- lingar med uppgifter om medborgarna.17 Även SCB har yttrat sig kritiskt i det aktuella lagstiftningsärendet.18 De redovisade ärendena ger en bild av området som kännetecknas av en strävan hos vissa myndigheter och utredningar som sysslar med statistik och forskning att så långt som möjligt underlätta han- teringen av personuppgifter, som den integritetsskyddande lagstiftning ses som ett hinder för den verksamheten.19 Ett annat exempel från tillsynen är Datainspektionens granskning av ett forskningsprojekt vid universitet.20 Vetenskaps rådet hade i ett tidigare skede prövat om det aktuella projektet skulle beviljas anslag, och då kommit in på den omständigheten att Data inspektionen tidigare (1986 i det s.k. Metropolit- ärendet) faktiskt hade beslutat att datasamlingen ifråga skulle av identifieras och att inga fler uppgifter skulle tillföras datasamlingen, vilket sammantaget skulle omöjliggöra framtida forskning på mate- rialet. Forskningshuvudmannen ville trots detta forska på materialet, 17 Datainspektionens beslut om yttrande i dnr 192-2012. 18 SCB:s beslut om yttrande i dnr 2014/1464. 19 Några exempel utöver de som redan nämns: betänkandena Registerdata för forskning (SOU 2012:36), Vad är officiell statistik? En översyn av statistiksystemet och SCB, SOU 2012:83, Unik kunskap genom registerforskning, SOU 2014:45. Ett annat exempel på detta är rapporten av de nationella kvalitetsregistren: Guldgruvan i hälso- och sjukvården – förslag till gemensam satsning 2011–2015, författad av . 20 Datainspektionens beslut i dnr 1776-2010. återpersonifiera det så långt som möjligt och påföra nya data samlingar. Kring denna frågeställning resonerade i ett särskilt PM, men kom fram till att anslagsansökan skulle beviljas eftersom ett beslut om avslag med hänvisning till legala oklarheter skulle innebära att ”man använder andra kriterier i bedömningen av detta ärende än av andra”. har även i andra sammanhang utmärkt sig genom att bortse från juridisk problematik kopplad till integritetsskyddet, exempelvis när rådet rekommenderade regeringen att anslå medel för Svensk nationell datatjänst (SND) vid univer- sitet – i full vetskap om att själva grundupplägget med SND stred mot gällande rätt.21 bedömning att verksamheten saknar lagstöd bekräftades när Datainspektionens förelade att upphöra med insamling och övrig behand- ling av personuppgifter i material insamlat inom ramen för Svensk nationell datatjänst.22 Det är flera olika lagar som reglerar och samverkar om hur käns- liga personuppgifter får hanteras för forsknings- eller statistik ändamål. Regelverket kan vara svårt att överblicka och förstå även för dem som är professionellt verksamma inom området. 10.4Kommitténs samlade bedömning av området Den övergripande bilden av området är att svenska myndigheter för- fogar över ett betydande antal databaser för forsknings- och statistik ändamål som tillsammans täcker hela landets totala befolkning. På så sätt utmärker sig – det finns inte många andra länder som kan jämföra sig med oss när det gäller möjligheten för det allmänna att undersöka sina invånares liv. 21 gjorde denna analys av rättsläget i samma rapport där man föreslog att reger ingen skulle satsa på uppbyggandet av SND. Rapporten forskningens infrastrukturer inom humaniora och samhällsvetenskap i , , dnr 131-2004-8236, s. 20. 22 Datainspektionens beslut i dnr 811-2011. Beslutet överklagades, men för- valtningsrätten avslog klagomålet, Förvaltningsrättens i dom i mål nr 9987-12. Domen har vunnit laga kraft. Det finns både inom forskningen och inom statistikverksam heten ett stort intresse för att dra nytta av att allt mer data genereras om enskilda och att det har blivit möjligt att sammanföra och analysera data från varierande datakällor. Inom forskningen rör det sig ofta om stora samlingar uppgifter som kan vara synnerligen integritetskänsliga. Inte sällan får upp gifterna hanteras utan information till den enskilde och utan sam- tycke från denne. Den enskilde har i dessa fall små möjligheter att påverka hur uppgifterna används. De samtycken som inhämtas kan ibland vara mycket breda och endast ge den enskilde en diffus upp- fattning om hur uppgifterna faktiskt kan komma att hanteras. Upp- gifterna kan också komma att spridas utan den enskildes vetskap. Vidare är det många olika huvudmän med varierande kunskap om integritetsskydd som bedriver forskning. Tillsynen visar också på vissa återkommande brister i hanteringen av personuppgifter inom forskningsprojekt. Sammantaget anser kommittén därför att hanter ing av integritetskänsliga personuppgifter för forskningsändamål innebär en allvarlig risk för den personliga integriteten, särskilt när uppgifterna hanteras utan stöd av samtycken eller med stöd av sam- tycken som är brett formulerade eller som lämnats tidigare i livet. Även inom den statliga statistikverksamheten rör det sig ofta om stora samlingar uppgifter som kan vara integritetskänsliga. Inte sällan får uppgifterna hanteras utan information till den enskilde och utan samtycke från denne. Den enskilde har i dessa fall inga möjlig- heter att påverka hur uppgifterna används. Officiell statistik produ- ceras av en rad olika statliga myndigheter, vilka måste kunna skilja mellan hantering av uppgifter i myndighetens kärnverksamhet, och hanteringen inom myndighetens statistikverksamhet. Landets största och känsligaste statistikdatabaser finns emellertid hos två statliga myndigheter: SCB och . Hos dessa två finns tämligen goda förutsättningar att kontrollera hur uppgifterna lagras, lämnas ut och används. Det finns också särskild lagstiftning för den statistikrelaterade hanteringen av personuppgifter hos dessa två och hos övriga statistikansvariga myndigheter. Det saknas tillsyns rapporter som vittnar om brister i samband med statistikverksamhet hos någon statlig myndighet när det gäller integritetsskyddet. Sam- mantaget anser kommittén att statens hantering av integritets känsliga personuppgifter för statistikändamål innebär en viss risk för den personliga integriteten. måste beaktas, beträffande såväl forskning som den statliga statistikverksamheten, att resultaten av dessa verksamheter bidrar med viktiga värden inom en rad olika samhällsområden. Verk- samheterna är ur ett samhällsperspektiv mycket viktiga för att kunna planera och utvärdera reformer, för att skapa transparens i samhälls- styret och för att ge bättre underlag för analys, debatt och beslut. Kommitténs bedömning: De olika företeelser som vi har kart- lagt inom området e-förvaltning är förknippade med risker av olika allvarlighetsgrad; såväl vissa risker som påtagliga och allvar- liga risker kan konstateras. Läs mer om hur vi bedömt riskerna avseende de olika företeelserna i avsnitt 11.3. Begreppet e-förvaltning definieras ofta som ”verksamhetsutveckling i offentlig förvaltning som drar nytta av informations- och kommu- nikationsteknik kombinerad med organisatoriska förändringar och nya kompetenser”.1 Det rör sig om digitala tjänster som används i kommunikationen mellan myndigheter och enskilda personer eller företag, mellan olika myndigheter eller inom en och samma myndighet. inom skolan och hälso- och sjukvården behand- las i respektive kapitel (kapitel 7 och 9). Offentlig förvaltning är en storkonsument av personuppgifter. Myndigheterna använder ofta uppgifterna i sammanhang som är viktiga för den enskilde, t.ex. för att bestämma rättigheter och skyl- digheter. 1 E-delegationens betänkande Organisering av framtidens e-förvaltning, SOU 2013:75. 11.1.2Ökad insamling, spridning och användning av personuppgifter har det skett en successiv och bred utveckling av e-förvaltningen, föranledd bl.a. av krav från regeringen på effektivi- sering av förvaltningen och på önskemål från enskilda och företag. Det har kommit allt fler e-tjänster för medborgarna, såsom digitala möjligheter att deklarera, ansöka om föräldrapenning och ansöka om förskoleplats m.m. Det blir också allt vanligare att myndigheter vill dela uppgifter med varandra. Det digitala uppgiftsflödet till och mel- lan myndigheterna har således ökat på flera olika sätt. Nästan sju av tio personer () i åldern 16–hämtade information från myndigheters webbplatser enligt Statistiska cen- tralbyråns undersökning för år 2015.2 I motsvarande undersökning för var resultatet på samma fråga 79 procent.3 I en enkätundersökning som gjordes i samband med utvecklingen av e-tjänsten Mina meddelanden, uppgav av de svarande att de tyckte att det är mycket eller ganska intressant att samla kom- munikationen med myndigheterna elektroniskt på ett och samma ställe.4 I fråga om i vilket format respondenten föredrog att få infor- mation från myndigheterna, så föredrog att få myndig- hetsmeddelanden i pappersformat. För var elektronisk form att föredra och för spelade det ingen roll. Resultatet av undersökningen visade också att det bland de sva- rande fanns en uppfattning om att säkerheten är viktig när det gäller åtkomsten till myndighetsmeddelande. Av de svarande tyckte att det är mycket viktigt att ingen obehörig kommer åt meddelandena. Det ställdes också frågor om myndigheters använd- ning av enskildas mobiltelefonnummer. De svarande visade sig vara mycket ovilliga att sprida sina mobiltelefonnummer till andra än myndigheterna. gick med på detta. Sedan var de svarande kluvna till om mobilnumret ska få användas av myndighe- terna förutom för sms-avisering. 2 SCB:s statistik Vad gör personer i åldern 16–vid kontakt med myndigheter via Internet. 3 SCB känner inte till varför antalet respondenter som svarat att de hämtat information, har minskat. 4 Behovsanalys privatperson 2012 A, Mina meddelanden, En förvaltningsgemensam infrastruk- turtjänst, Utredningsrapport från med dnr 131-665930-12/123. När Delegationen för e-förvaltning5, härefter kallad E-delega tionen, genomförde sin sista uppföljning av de statliga myn- digheternas arbete med e-förvaltning och e-tjänster, visade det sig att de 137 myndigheter som medverkade i uppföljningen tillhandahöll sammantaget 3 816 e-tjänster till privatpersoner, företag och offent- lig sektor. Av dessa tillhandahålls 1 057 tjänster via gränssnittet maskin-till-människa och 2 183 tjänster via gränssnittet maskin-till- maskin. Elektroniskt informationsutbyte mellan de statliga myndig- heterna (maskin-till-maskin) hade ökat markant jämfört med mot- svarande undersökning . Betydligt fler statliga myndigheter var också involverade i gemensamma satsningar jämfört med år 2011.6 Ökningen beror bl.a. på att såväl verksamheterna som regelverk och teknik har utvecklats för att möjliggöra ett utökat utbyte av uppgifter över myndighetsgränserna. Exempel på detta är de bestäm- melser som trädde 2009 och som innebär ett utökat elektro- niskt informationsutbyte mellan myndigheter.7 Information ska huvudsakligen utbytas genom s.k. direktåtkomst. En konkret tillämpning av regeländringar är den s.k. LEFI Online (LEverera FörmånsInformation) som är en e-tjänst för upp- giftsutlämnande från . Genom LEFI Online läm- nar ut person- och förmånsinformation till mot- tagare som har rätt att få ta del av informationen. Målgruppen för tjänsten är externa parter som försäkringsbolag, kommuner (huvud- sakligen socialnämnder) och statliga myndigheter. Frågan om direktåtkomst i LEFI Online har prövats av Högsta förvaltningsdomstolen.8 Domstolen kom fram till att socialnämn- dernas åtkomst i systemet inte är att betrakta som direktåtkomst enligt socialförsäkringsbalken (2010:110), eftersom socialnämn- 5 Dir. 2009:19. 6 Uppföljning av myndigheternas arbete med e-förvaltning och e-tjänster 2013, Rapport från E-delegationen daterad . 7 Regeringens proposition Utökat elektroniskt informationsutbyte, prop. 2007/08:160. 8 Högsta domstolens dom en i mål nr 1356-14.