sou · H5B350 · 2017-06-09 00:00:00 — Förslaget att eliminera undantaget från texten torde ha varit ett led i att förstärka skyddet för enskilda mot bakgrund av de allt större tekniska möjligheterna att samla in och samutnyttja stora mängder av personuppgifter som i skäl 6 beskrivs som ett av de grundläggande motiven för dataskyddsreformen. Forskningsfrågorna upptog en viktig plats i ministerrådets arbete, bland annat var det en av de frågor som prioriterades av den under förhandlingsarbetet. De framsteg inom bland annat den medicinska forskningen som ytterligare behand- ling av personuppgifter från befolkningsregister har inneburit ut- gjorde ett tungt vägande skäl för att behålla forskningsundantaget. kompletterade kommissionens förslag genom att i artikel 5 b lägga till undantaget för arkivändamål, forskning och statistik med samma ordalydelse som återfinns i det nuvarande dataskyddsdirektivet, och man omformulerade skäl 40 i enlighet med detta. Tillägget ingår nu som andra mening i artikel 5 b till- sammans med ett förtydligande i skäl 50. Samtycke för uppgifter om hälsa Artikel 9.2 j (i kommissionens förslag artikel 9.2 i33) fastställer att behandling av särskilda kategorier av personuppgifter (”känsliga personuppgifter” i nuvarande lagtext) är tillåten för vetenskapliga eller historiska forskningsändamål under förutsättning att behand- lingen är nödvändig enligt artikel 89.1 (tidigare artikel 83), att det i unionsrätten eller den nationella rätten finns ett rättsligt grundat 32Studier där en population följs , baserad på uppgifter som samlats in och sedan används i efterhand av forskare. 33COM(2012) 11 final av , s. 47. Bakgrund, rättsliga utgångspunkter och begrepp skydd för uppgifterna, och att proportionalitetsprincipen34 beak- tats. I definitionen innefattas enligt artikel 9.1 uppgifter om hälsa. Utöver detta föreslog kommissionen särskilda bestämmelser om hälsa i artikel 81.35 Kommissionen föreslog att personuppgifter om den registrerades hälsotillstånd enligt artikel 81 får behandlas för forskningsändamål i enlighet med bestämmelser i (dåvarande) arti- kel 83. Parlamentet gick även i detta avseende längre än kommissionen när det gällde att föreslå skydd genom att i artikel 81.2 som huvud- princip lägga till ett krav på samtycke när uppgifterna behandlas för forskningsändamål.36 Ett ytterligare tillägg (artikel 81.2 a) möjlig- gjorde dock undantag från denna restriktion “with regard to research that serves a high public interest, if that research cannot possibly be carried out otherwise”.37 Utöver detta innebar parlamentsförslaget krav på anonymisering eller pseudonymisering38 och att den regi- strerade skulle ha rätt att motsätta sig behandlingen när som helst under processen. Vad som är “high public interest” skulle enligt förslaget avgöras av kommissionen efter konsultation med den Europeiska dataskyddsstyrelsen39 (dåvarande artikel 81.3). De tillägg som föreslogs av parlamentet skulle innebära ett särskilt förstärkt skydd för personuppgifter om hälsa utöver vad som stadgas i artikel 9 om särskilda kategorier av personuppgifter. Mot detta ska vägas de konsekvenser ett sådant tillägg skulle kunna få för forskning och statistikverksamhet. 34Den europeiska unionsrätten anger att åtgärden för att vara proportionerlig ska vara ägnad att tillgodose ändamålet, nödvändig för att uppnå ändamålet som mindre inskränk- ande alternativ saknas, och den fördel som uppnås med åtgärden ska stå i rimlig proportion till den eventuella skada den kan orsaka för de berörda. 35COM(2012) 11 final av , s. 96–97. 36P7_TA(2014)0212 Protection of individuals with regard to the processing of personal data. European Parliament legislative resolution of 12 2014 on the proposal for a regulation of Parliament and of protection of individuals with regard to the processing of personal data and on the free movement of such data (Protection Regulation), s. 305 37A.a., s. 307. 38I dataskyddsförordningens terminologi är pseudonymisering enligt artikel 4.5 person- uppgifter som kan tillskrivas en specifik registrerad utan att kompletterande uppgifter används. Anonymisering är enligt skäl 26 information som inte hänför sig till en identifierad eller identifierbar fysisk person. Förordningen är inte tillämpbar på anonyma uppgifter. Terminologin i förordningen kan avvika något från i etablerade uppfatt- ningar om dessa termers betydelse. 39Se dataskyddsförordningens avsnitt 3 där denna styrelse inrättas som ett unionsorgan med uppgift att se till att förordningen tillämpas enhetligt. Styrelsen ersätter den nuvarande artikel 29-gruppen som haft en liknande uppgift i relation till det nuvarande dataskyddsdirektivet. Bakgrund, rättsliga utgångspunkter och begrepp använder sig i ofta av hundratusentals uppgifter från befolkningsomfattande hälsodataregister. Registerbaserade studier utgör en betydelsefull del av den europeiska epidemiologin. Det föreslagna kravet på samtycke skulle i praktiken förhindra denna forskning. Från forskare framhålls också ofta att samtycke kan medföra snedvridning i forskningsresultaten. Att söka aktivt samtycke med- för ofta överrepresentation av personer med bättre hälsa, under- representation av personer i vissa åldersgrupper, etc. Om syftet exempelvis är att undersöka förekomsten av hälsoproblem kan detta medföra att problemens förekomst undervärderas. I vilken riktning en icke representativ selektion snedvrider resultaten av forskningen kan inte generellt värderas och är därför svårt att kompensera för i resultatredovisningen. Eftersom det av parlamentet föreslagna tillägget till artikel 81.2 tog sikte också på statistiska ändamål skulle myndigheter som en- bart använder personuppgifterna för statistikproduktion antingen bli skyldiga att inhämta samtycke från samtliga, eller i det fall undantaget i artikel 81.2 a gällde, erbjuda den registrerade möjlig- heten att bli struken från registret. I samband med kravet på sam- tycke uppkom därför frågan om hur de grundläggande nationella personnummerbaserade populationstäckande registren vid , , , Folkhälsomyndig- heten och andra myndigheter med uppgifter om hälsa skulle påver- kas av krav på samtycke som grundprincip och en absolut rätt att motsätta sig behandling i efterhand. Den nuvarande svenska lag- stiftningen rörande obligatoriska hälsodataregister skulle då behöva modifieras, och förändringar skulle också bli nödvändiga i vissa registerförfattningar, som i särskilda fall innefattar möjligheten att motsätta sig behandling med andra formuleringar än de föreslagna.40 föreslog strykning av de särskilda regler om hälso- uppgifter som fanns i artikel 81. Man ansåg att den reglering som enligt artikel 9 erbjuder ett förhöjt skydd för särskilda kategorier av personuppgifter och som innefattar uppgifter om hälsa skulle vara tillräcklig. Detta vann gehör i trilogen. Därmed upphävdes den före- slagna artikel 81 i sin helhet. 40 Exempelvis enligt 7 kap. 2 § patientdatalagen som reglerar kvalitetsregister i hälso- och sjuk- vården. Bakgrund, rättsliga utgångspunkter och begrepp Pseudonymiseringens ställning som skyddsåtgärd Frågan om pseudonymiseringens ställning som skyddsåtgärd var föremål för diskussion mellan medlemsstaterna under hela för- handlingsprocessen. Pseudonymisering innebär att uppgifter som möjliggör identifiering av personer hålls separerade från andra upp- gifter. Pseudonymiserade uppgifter är personuppgifter, vilket inne- bär att uppgifterna kan återidentifieras med tillförande av komplette- rande uppgifter (artikel 4.5 i dataskyddsförordningen). Pseudo- nymisering innebär enligt förordningen “tekniska eller organisato- riska åtgärder”, men regleringen identifierar inte vad detta innebär i detalj. Artikel 29-gruppen har gjort en genomgång av de vanligaste metoderna.41 Det kan vara personuppgifter som är indirekt identifierbara och/eller data som försetts med en kodnyckel av mer eller mindre avancerat slag. Pseudonymiseringen kan även innebära att indirekt identifiering ska försvåras. Eftersom indirekt identifiering ofta kan åstadkommas med hjälp av relativt få uppgifter (t.ex. ålder, kön, diagnosdatum, diagnoskod och geografisk region) skulle många så- dana uppgifter komma att behöva elimineras eller omkodas för att uppnå erforderligt skydd. Pseudonymisering har framhållits som en av de viktigaste skydds- åtgärderna för forskningsdata. Kommissionens förslag till reglering av forskning i artikel 83 löd som följer:42 Inom ramen för denna förordning får personuppgifter behandlas för historiska, statistiska och vetenskapliga forskningsändamål endast under förutsättning att a)dessa ändamål inte kan uppfyllas på annat sätt genom behandling av uppgifter som inte medger eller inte längre medger identifiering av den registrerade, b)uppgifter som gör det möjligt att hänföra information till en identi- fierad eller identifierbar registrerad person hålls åtskilda från övrig infor- mation så länge som dessa ändamål kan uppfyllas på det sättet. 410829/14/EN WP216. Yttrande 05/2014 om avidentifieringsmetoder, avsnitt 4 s. 20 f. 42COM(2012) 11 final av , s. 97. Bakgrund, rättsliga utgångspunkter och begrepp Parlamentet föreslog som ett led i att öka personuppgiftsskyddet en förstärkning av formuleringarna i artikel 83 b genom att stryka bisatsen ”så länge som dessa ändamål kan uppfyllas på det sättet”.43 Man föreslog således i praktiken ett obligatoriskt krav på pseudo- nymisering för statistik och forskningsändamål. I ministerrådets behandling av frågan fanns skilda meningar om pseudonymiseringens roll i förhållande till andra skyddsåtgärder. En synpunkt var att pseudonymisering borde likställas med andra skyddsåtgärder och att en dominerande ställning för denna speci- fika skyddsåtgärd skulle medföra en reglering som inte var teknik- neutral. slutförslag innehöll en formulering som lyfte fram pseudonymisering utan krav på obligatorium och med ett liknande undantag som kommissionen hade föreslagit: The appropriate safeguards referred to in paragraphs 1 and 1a shall be laid down in Union or law and be such to ensure that technological and/or organisational protection measures pursuant to this Regulation are applied to the personal data (…), to minimise the processing of personal data in pursuance of the proportionality and necessity principles, such as pseudonymising the data, unless those measures prevent achieving the purpose of the processing and such purpose cannot be otherwise fulfilled within reasonable means.44 Ett långtgående krav skulle för forskningens del kunna leda till att de uppgiftssamlingar som är tillräckligt pseudonymiserade i prakti- ken inte kan användas av forskare som avser att sambearbeta upp- gifter från olika källor och där insamlingen av uppgifter försiggår under långa tidsperioder. Användning av pseudonymer vid påförande av nya data medför också sannolikt fel i matchningsproceduren. De kan orsakas både av rena datafel och av att de data som används som grund för pseudo- nymiseringen ändras för en individ . Pseudonymisering kommer därför att resultera i förlust av datakvalitet i datamängder som förs och behöver uppdateras.45 I vissa sammanhang, 43P7_TA (2014)0212, s. 316. 44COM(2012) 11 final av , s. 195. 45Felkällor som uppstår med användning av pseudonymiserade data illustreras närmare i en jämförelse mellan skandinavisk och tysk cancerstatistik: , Storm HH, on behalf of the Eurocourse Work Package G. Cancer registration, public health and the reform of data protection framework: Abandoning or improving European public health research? European journal of cancer. 2013. doi:10.1016/j.ejca.2013.09.005. Bakgrund, rättsliga utgångspunkter och begrepp t.ex. vad avser uppgifter i biobanker, kan det vara svårt att åstad- komma en tillräcklig eliminering av uppgifter för att tillgodose kravet på pseudonymisering enligt artikel 4.5. Ett krav på pseudonymisering skulle påverka såväl uppgifts- samlingar för forskningsändamål som registerhållningen hos stati- stik- och arkivmyndigheter. Ett exempel kan vara Statistiska central- byråns (SCB) register över totalbefolkningen (RTB) som är ett ut- drag från grunduppgifter. RTB används för befolk- ningsstatistiken och utgör en viktig bas i snart sagt alla populations- baserade studier eller i urvalsstudier där uttag och samkörningar mot andra uppgifter behöver göras. Möjligheten att behandla person- nummer har således avgörande betydelse för den svenska forskningen. Kravet på pseudonymisering kvarstod under hela trilogen. I slut- skedet av förhandlingen föreslogs obligatorisk pseudonymisering om ändamålet ändå skulle kunna uppfyllas med användning av denna skyddsåtgärd. Till slut modifierades dock skrivningen i artikel 89.1 till att skyddsåtgärderna ”får inbegripa pseudonymisering under förutsättning att dessa ändamål kan uppfyllas på det sättet” (vår kursivering). Pseudonymiseringen kvarstår därmed som en i för- ordningen prioriterad skyddsåtgärd, men förutsätts bara användas när så är möjligt med hänsyn till personuppgiftsbehandlingens syfte. Några frågor som diskuterades som särskilt viktiga för forskningen under den slutliga processen var finalitetsprincipen och forsknings- undantaget, samtycke som grundprincip för hälsoinriktad forsk- ning, och obligatorisk pseudonymisering av forskningsdata. Efter att ha varit frånvarande från kommissionens förslag och parlamentets modifieringsförslag efter första läsningen togs ett undantag från finalitetsprincipen, för bland annat personuppgifts- behandling för forskningsändamål, med i artikel 5 b i dataskydds- förordningen. Det har i princip samma lydelse som det undantag som finns i 9 § personuppgiftslagen. De särskilda regler som kommissionen föreslog för personuppgif- ter om hälsa, och som genom parlamentets tillägg innebar mycket strikta begränsningar i forskningens möjlighet att utnyttja person- uppgifter utan att samtycke inhämtats, upphävdes i sin helhet i den Bakgrund, rättsliga utgångspunkter och begrepp slutliga förordningstexten där känsliga personuppgifter innefatt- ande uppgifter om hälsa regleras genom artikel 9 tillsammans med andra känsliga personuppgifter. Kravet på obligatorisk pseudonymisering om inte detta förhind- rar att forskningen kan utföras fanns med sent under förhandlingen mellan ministerrådet, parlamentet och kommissionen, men ersattes slutligen med en formulering som innebär att pseudonymisering får användas om syftet med personuppgiftsbehandlingen ändå kan upp- nås. I flera fall innebar förhandlingarna att heterogeniteten mellan olika materiella tillämpningsområden och delar av det territoriella tillämpningsområdet (t.ex. mellan medlemsstaterna) var så stor att den slutliga texten innehåller en rad bestämmelser om att medlems- staterna kan eller ska instifta nationella regler som kompletterar förordningen. har, till skillnad från Utredningen om översyn av etikprövningen (U 2016:02),46 inte fått särskilda direktiv att se över definitionen av forskningsbegreppet. Eftersom särskilda regler kommer att gälla för personuppgiftsbehandling för veten- skapliga och historiska forskningsändamål finner utredningen ändå ett behov av att adressera gränsdragningen mellan sådan behandling och annan behandling av personuppgifter. För forskningsändamål finns i dataskyddsförordningen möjlighet till undantag från flera bestämmelser som avser att skydda fysiska personer. Det är därför väsentligt att forskningsändamål ges en innebörd som möjliggör nuvarande och framtida forskning, men inte omfattar mer än vad som behövs och är tillåtligt enligt dataskyddsförordningen.47 I detta avsnitt görs först en genomgång av de begrepp och ut- tryck som används i dataskyddsdirektivet, personuppgiftslagen och 47Detta motiveras också genom de grundläggande friheter och rättigheter som fastställs i regeringsformens andra kapitel och i de internationella överenskommelser om mänskliga rättigheter som har anslutit sig till. Bakgrund, rättsliga utgångspunkter och begrepp dataskyddsförordningen för att beskriva forskning. Därefter dis- kuteras hur en avgränsning av begreppet ”forskning” lämpligen kan göras och dess relation till begreppet ”forskningsändamål”, samt hur det närliggande begreppet ”akademiskt skapande” förhåller sig till forskning. I det nuvarande dataskyddsdirektivet förekommer begreppet ”forsk- ning” i artikel 13.2 i uttrycket ”ändamål som har med vetenskaplig forskning att göra”, i artikel 32.3 där ”historisk forskning” omnämns, samt i skäl 34 där uttrycket ”vetenskaplig forskning” används. På flera ställen förekommer uttrycket ”vetenskapliga ändamål” (arti- kel 6 b och e samt skäl 29 och 40) och i ett fall ”vetenskapliga forsk- ningsändamål” (artikel 11.2). Formuleringarna i de olika delarna av direktivet är således inte identiska eller konsekventa. I 9 § andra stycket personuppgiftslagen används, i överensstäm- melse med motsvarande artikel 6 b i direktivet, uttrycket ”veten- skapliga ändamål” för att beskriva de undantag från 9 c § som med- ges för bland annat forskning och i 26 § om den registrerades rätt till information efter ansökan. När det gäller forskning med käns- liga personuppgifter används i 19 § uttrycket ”forskningsändamål”. I bilaga 3 finns en detaljerad genomgång av alla de termer i data- skyddsförordningens skäl och artiklar som berör forskning. Några av dessa termer har definierats i dataskyddsförordningens artikel 4. Denna artikel innehåller dock inga definitioner av just forskning eller forskningsändamål. Begreppet ”forskning” förekommer över huvud taget inte i artiklarna, där man genomgående använder det sammansatta uttrycket ”vetenskapliga eller historiska forsknings- ändamål”. När det gäller ”forskning” får man därför vända sig till skälen för att få vägledning. ”Forskning” eller ”vetenskaplig forskning” omnämns i skälen 33, 157, 159, 160 och 161. De fyra senare ger viss Bakgrund, rättsliga utgångspunkter och begrepp vägledning om vad som bör innefattas i forskningsbegreppet när det omfattar personuppgiftsbehandling. I skäl 159 ges en allmän vägledning till vad forskning ska anses innefatta. Skälet inleds med att fastställa att personuppgiftsbehand- ling för forskningsändamål omfattas av förordningen. Därefter anges att denna typ av personuppgiftsbehandling bör ges en vid tolkning som innefattar: Teknisk utveckling och demonstration. Studier som utförs av ett allmänt intresse inom folkhälsoområdet. Skäl 160 tillägger att forskning för historiska och genealogiska48 ändamål ska innefattas, dock med beaktande av att förordningen inte gäller för avlidna. Vad gäller vetenskaplig forskning inom ramen för kliniska prövningar hänvisar skäl 161 till och rådets förordning (EU) nr 536/2014.49 Forskning som inne- fattar kliniska prövningar torde dock även omfattas av den uppräk- ning som görs i skäl 159. Uppräkningarna i de angivna skälen förefaller ange en viljeinrikt- ning snarare än att vara heltäckande. Det bör därför finnas utrymme för att i nationell reglering skapa, alternativt behålla, en avgränsning av forskningsbegreppet som är relevant för den forskning som an- vänder personuppgifter. En sådan avgränsning ska överensstämma med den i skäl 159 uttryckta viljeinriktningen att forskning ska ges en vid tolkning. 49Europaparlamentets och rådets förordning (EU) nr 536/2014 av om kliniska prövningar av humanläkemedel och om upphävande av direktiv /20/EG (EUT L 158,27.5.2014, s. 1). Bakgrund, rättsliga utgångspunkter och begrepp Begreppets definition i närliggande sammanhang Det huvudsakliga arbetet i med att definiera forskning har skett inom ramen för etikprövningssystemets utveckling. Diskussio- nen har dominerats av överväganden som har att göra med etik- prövningens syften, nämligen att utgöra ett skydd mot otillbörligt utnyttjande av känsliga personuppgifter och personuppgifter om lagöverträdelser m.m. Forskning som enbart omfattar teoretiska överväganden utan att använda uppgifter som härrör från enskilda personer ska inte omfattas av etikprövning. Forskning som inte omfattar känsliga personuppgifter ska inte heller etikprövas. Sådan forskning som inte berörs av etikprövningen kan således ha givits mindre uppmärksamhet i arbetet med att definiera forskning i etik- prövningslagen. Eftersom känsliga personuppgifter ofta förekommer i hälso- inriktad forskning har de exempel lagstiftaren utgått ifrån troligen ofta härrört från medicinsk och epidemiologisk empirisk forskning med användning av denna kategori av känsliga personuppgifter. har i uppdrag att föreslå den kom- pletterande reglering till dataskyddsförordningen som behövs för all slags behandling av personuppgifter för forskningsändamål. Utöver detta ska utredningen i sin senare fas ta ställning till en lång- siktig generell reglering av forskningsdatabaser. Utredningen ska således framöver lämna förslag på ett bredare område än det som omfattas av etikprövning, men den ska inte ta ställning till forskning som inte innefattar personuppgifts- behandling. Avgränsningen till behandling av personuppgifter för forskningsändamål är således gemensam. Etikprövningslagens forskningsdefinition och de bedömningar som föregick dess för- ändring utgör därmed en relevant bakgrund. Den lydelse av forskningsdefinitionen som gällde före enligt 2 § etikprövningslagen var: Vetenskaplig forskning samt utvecklingsarbete på vetenskaplig grund.51 51SOU 2005:78, s. 23. Bakgrund, rättsliga utgångspunkter och begrepp En anledning till den utredning som föregick ändring i etikprövningslagens definition var att den äldre formuleringen innehöll ett cirkelresonemang (forskning definierades som veten- skaplig forskning) och var dessutom alltför allmänt hållen för att utgöra en väl fungerande vägledning för etikprövningsnämndernas arbete.52 Den äldre definitionen inkluderade såväl grundläggande veten- skaplig verksamhet (grundforskning) som utvecklingsarbete (tilläm- pad forskning), men uteslöt utvecklingsarbete som inte vilade på vetenskaplig grund. Detta synsätt får anses överensstämma med intentionerna i dataskyddsförordningen såsom de uttrycks i skäl 159. Inför revideringen av etikprövningslagen efterfrågades också en tydligare avgränsning mellan forskning och lärosätenas utbildnings- verksamhet. Detta har tillgodosetts genom en kompletterande bi- sats formulering som undantar utbildning på grund- och avancerad nivå från forskningsdefinitionen. I propositionen anges att forskning som utförs av studenter på forskarnivå ska genomgå etikprövning om den faller inom ramen för lagens tillämpnings- område.53 Den avgränsning som görs avser därmed utbildning på grundnivå samt avancerad nivå enligt högskolelagen54, men inte ut- bildning på forskarnivå. Denna avgränsning mot utbildning åter- finns inte uttryckligen i dataskyddsförordningen, men står enligt utredningens bedömning inte i motsättning till formuleringarna i skäl 159 som genomgående använder uttrycket ”vetenskapliga forsk- ningsändamål”. fann vid sin genomgång att () i praktiken har definierat verk- samheter som forskning utifrån företrädesvis två aspekter:55 Utförarnas egenskaper eller anställning (”kvalificerade forskare”). Forskarnas/utförarnas intentioner (framför allt att publicera arbetet i vetenskaplig tidskrift). 52SOU 2005:78, s. 55 f. 2007/08:44, s. 20. 541 kap. 7 § högskolelagen (1992:1434) samt lag (2006:173) om ändring i högskolelagen. 55SOU 2005:78 s. 50. Bakgrund, rättsliga utgångspunkter och begrepp Regelrätta definitioner av forskning saknas i andra förarbeten till lagstiftning om personuppgiftsbehandling, men forskning diskuteras i olika sammanhang. hänvisar 19 § personuppgiftslagen till etikprövningslagen.56 För tiden före denna förändring sägs i : Före den nu nämnda förändringen av 19 § PUL beskrevs forsknings- begreppet i litteraturen på följande sätt. Begreppet forskning i 19 § sades i första hand avse den verksamhet som bedrevs vid etablerade institutioner, såsom universitet och högskolor eller privata, väletable- rade forskningsinstitut. Även sådana epidemiologiska undersökningar som utfördes vetenskapligt omfattades.