sou · H5B350 · 2017-06-09 00:00:00 — Dessutom finns redan en möjlighet enligt 27 § etikprövningslagen att överlämna ärenden till ordföranden eller annan ledamot att avgöra under vissa förutsätt- ningar. Mot den bakgrunden avstyrkte Centrala etikprövnings- nämnden förslaget om förenklad etikprövning. Vi har också tagit del av uppfattningen från flera håll att behandling av kodade personuppgifter ur myndig- hetsregister inte självklart medför lägre risk för intrång i den regi- strerades integritet utan snarare tvärt om. Behandling av personuppgifter ur offentligt material Kravet på etikprövning enligt 3 § etikprövningslagen omfattar all forskning, enligt lagens definition, innefattande behandling av de angivna kategorierna av personuppgifter. Några andra kriterier uppställs inte. Detta innebär att kravet på etikprövning omfattar uppgifter som inhämtats från myndigheter, andra organisationer, privata företag eller enskilda forskningspersoner m.fl. Aktuella forskningsdata kan avse både uppgifter som är offentliga och upp- gifter som skyddas av sekretess. Eftersom definitionen av person- uppgift omfattar såväl direkta som indirekta uppgifter om en en- skild levande fysisk person är kravet på etikprövning långtgående. Frågan om etikprövning av personuppgiftsbehandling av uppgifter ur offentligt och eventuellt redan (digitalt) tillgängliggjort material har behandlats såväl i rättsvetenskapliga artiklar som av etikpröv- ningsnämnderna. Kärnan i problematiken kring etikprövning av personuppgifts- behandling av uppgifter ur offentligt material rör framför allt rela- tionen mellan den grundlagsfästa rätten att ta del av allmänna hand- lingar också innehållande personuppgifter (2 kap. tryckfrihets- förordningen) och etikprövningslagens krav på etikprövning av viss personuppgiftsbehandling. En övergripande uppfattning som förs fram i sammanhanget från forskarhåll är att etikprövningslagen inte kan begränsa en rättighet som fastställts i grundlag. Var och en kan med stöd av offentlighetsprincipen samla in och bearbeta uppgifter ur offentliga allmänna handlingar. Etikprövning av personuppgiftsbehandling för forskningsändamål liga allmänna handlingar menas sådana allmänna handlingar där det inte föreligger någon sekretess. När sådan insamling och bearbetning av vissa kategorier av per- sonuppgifter görs för forskningsändamål blir kravet på etikprövning aktuellt. Etikgodkännande ska närmare bestämt föreligga redan innan uppgifter samlas in i samband med forskning, vilket i prakti- ken innebär ett krav på förhandsgodkännande av inhämtande av personuppgifter också ur offentliga allmänna handlingar. Detta krav har ansetts inskränka forskarnas grundlagsskyddade rätt att ta del av sådana offentliga uppgifter. Inom forskning kan det också vara svårt att fast- ställa den tidpunkt när insamling och läsning av till exempel rätts- praxis övergår från att vara fortbildning eller undervisningsförbere- delser till att utgöra inledningen på forskning.50 Regleringen i etik- prövningslagen är så långtgående att till exempel behand- ling för forskningsändamål av känsliga personuppgifter eller person- uppgifter om lagöverträdelser m.m. ur en tryckt och förlagsutgiven rättsfallssamling kräver etikgodkännande innan läsning av bokinne- hållet får påbörjas för detta ändamål. Att en forskare tar del av personuppgifter som återfinns i material som en domstol eller förvaltningsmyndighet exempelvis offentlig- gjort via sin webbplats får vidare anses medföra en låg risk för kränk- ning av den enskildes integritet. Behandling av uppgifter ur sådant material, som offentliggjorts med syfte att ge allmänheten insyn i domstolars och andra allmänna organs verksamheter, har dessutom ansetts kunna generera samhällsnyttiga forskningsresultat av stor vikt.51 I ett överklagat ärende bedömde frågan om rättsvetenskaplig analys av domskäl i brottmålsdomar ska omfattas av etikprövningslagen. Klagandens motivering till ifråga- sättandet av lagens tillämplighet var att etikprövningslagens regler- 50Se vidare : Privatlivet och forskningen – en dyster lägesbeskrivning, SvJT 2009 s. 566–584, s. 578 f. 51Se vidare , Grundlagsstridigt krav på etikprövning?, Förvaltningsrättslig tidskrift 4/2015. Etikprövning av personuppgiftsbehandling för forskningsändamål ing står i strid med den grundlagsfästa rätten att ta del av allmänna handlingar. Nämnden menade att man måste skilja mellan rätten att ta del av allmänna handlingar och rätten att använda uppgifter ur allmänna handlingar inom forskningsverksamhet. I det aktuella forskningsprojektet skulle citat ur domar föras över till forsknings- texten tillsammans med uppgift om målnummer, vilket nämnden ansåg gjorde det möjligt att hänföra varje citat till tilltalade och måls- ägande i målet. Detta innebar sammantaget enligt nämndens be- dömning att forskningen innefattade behandling av personuppgif- ter som omfattades av etikprövningslagens krav på etikprövning. Det rörde sig alltså om forskning enligt etikprövningslagens defini- tion och underlaget bestod av redan existerande och tillkommande känsliga personuppgifter samt även personuppgifter om lagöverträ- delser m.m. På vilket sätt uppgifterna gjorts tillgängliga för allmän- heten ansåg sakna betydelse. Ansö- kan godkändes med villkor att nämndens allmänna anvisningar för datasäkerhet skulle följas i tillämpliga delar.52 Centrala etikpröv- ningsnämnden bedömde i det aktuella fallet risken för intrång i forskningspersonernas personliga integritet som så pass liten att den regionala nämndens beslutade villkor om s.k. opt out-förfarande53 inte bedömdes nödvändigt.54 avgjorde senare ett liknande ärende där en analys av domar och andra myndighetsbeslut, enbart offentligt material, skulle genomföras inom ett forskningsprojekt. Klaganden ansåg att den distinktion som nämnden gjort i sin praxis mellan rätten att ta del av offentliga allmänna handlingar och de etiska förutsättningarna för att använda information ur sådana handlingar inom forskning med hänvisning till doktrin55 inte är oproblematisk. ansåg dock allt- jämt att den planerade analysen var tillståndspliktig i sin helhet. 52Etikprövningsnämndernas allmänna anvisningar för datasäkerhet: Allt forskningsmaterial som innehåller känsliga personuppgifter ska förvaras i låsta skåp. Känsligt elektroniskt material ska lagras på separat krypterad hårddisk eller liknande, som förvaras i säkerhetsskåp och som endast personer direkt utsedda av den ansvarige forskaren har tillgång till. Kodnyckel och annat direkt identifierbart material, som ljudinspelningar och samtyckesblanketter, ska för- varas åtskilt från det kodade materialet. All bearbetning och förvaring av data ska äga rum på dator eller annat medium utan anslutning till Internet. 53Den registrerades möjlighet att motsätta sig behandling av personuppgifter. 54Centrala etikprövningsnämnden beslut Ö 14-2015. 55Vilhelm , Grundlagsstridigt krav på etikprövning?, Förvaltningsrättslig tidskrift 4/2015. Etikprövning av personuppgiftsbehandling för forskningsändamål Ansökan godkändes med villkoret att nämndens allmänna villkor för datasäkerhet skulle följas i de delar som inte avsåg analys som grundade sig på avgöranden som domstolarna publicerat på sina webbplatser. ansåg således att vill- koret om datasäkerhet fick anses obehövligt till den del analysen grundade sig på avgöranden som domstolarna publicerat på sina webbplatser.56 Den principiella frågan om det bör göras någon distinktion av- seende den integritetsrisk som är förknippad med behandling av uppgifter ur offentligt redan publicerat material och offentligt material i övrigt har behandlats av vid ytterligare ett par tillfällen. Ett av de aktuella ärendena avsåg en studie med syfte att närmare analysera viss rättstillämpning med användande av bland annat domar från förvaltningsrätt och kam- marrätt. Materialet bestod av offentliga allmänna handlingar som dock innehöll känsliga personuppgifter. I redovisningen av forsk- ningsresultaten skulle information om individer eller direktidenti- fierande uppgifter inte anges, men man avsåg att ge hänvisning till målnummer i syfte att ge läsaren möjlighet att kontrollera forsk- ningens kvalitet. Ansökan beviljades av den regionala etikpröv- ningsnämnden med villkor att vad avsåg opublicerade domar, dvs. sådana som inte återgivits i referatsamlingar, målnummer inte skulle få anges i resultatredovisningen. I stället skulle en kodlista kunna sparas för att möjliggöra identifikation av de aktuella domarna i efterhand. Sökanden överklagade beslutet avseende detta villkor med hän- visning bland annat till att det i rättsvetenskaplig forskning är en vedertagen princip att målnummer anges i resultatredovisningar mot bakgrund av att man behandlar offentligt material. bedömde lämpligheten i ett sådant krav bland annat med beaktande av doktrin,57 där det framhålls att offentligheten gällande domar och beslut bland annat syftar till att göra det möjligt att kritiskt granska rättstillämpningen och att det generellt står varje medborgare fritt att inhämta och behandla så- dana uppgifter, även i forskningssammanhang. 56Centrala etikprövningsnämnden beslut Ö 30-2015. 57Elisabeth : Privatlivet och forskningen – en dyster lägesbeskrivning, SvJT 2009 s. 566–584. Etikprövning av personuppgiftsbehandling för forskningsändamål konstaterade dock att offent- liga referatsamlingar visserligen anonymiserar namn i samband med publicering, men alltid innehåller en hänvisning till målnummer, datum för domar och beslut osv. vilka utgör indirekta personupp- gifter. En sådan hänvisning är, enligt nämndens bedömning, god- tagbar enligt fast praxis. Även hänvisningar i rättsvetenskapliga fram- ställningar till opublicerade avgöranden innehåller som regel sådana indirekta personuppgifter, vilket är i enlighet med vedertagen forsk- ningssed. fann sammantaget att skyddet för den enskildes integritet inte skulle öka nämnvärt genom det av regionala nämnden uppställda villkoret och att ett sådant villkor stred mot vedertagna principer och upphävde beslutet i den delen.58 Av Centrala etikprövningsnämndens bedömning avseende huru- vida det bör göras någon distinktion ifråga om integritetsrisken vid behandling av uppgifter ur offentligt redan publicerat material och offentligt material i övrigt kan slutsatsen dras att en begränsning av möjligheten att på vedertaget sätt hänvisa till målnummer och lik- nande uppgifter i rättsvetenskapligt arbete inte är motiverad, oav- sett om det offentliga materialet är publicerat eller ej. Sammanfattningsvis kan utredningen konstatera att det i dags- läget råder olika uppfattningar i frågan om etikprövning vid använd- ning av offentligt material, såväl publicerat som opublicerat. Utredningens bedömning: Ett mer ändamålsenligt etikpröv- ningsförfarande för sådan personuppgiftsbehandling som typiskt sett kan anses innebära en lägre risk för integritetsintrång bör utredas vidare. Mot bakgrund av ovan förda resonemang och praktiska exempel bedömer utredningen att det föreligger ett behov av att analysera möjligheterna till en mer ändamålsenlig och differentierad etik- prövning av personuppgiftsbehandling för forskningsändamål. 58 beslut Ö 11-2012 och Ö 16-2012. Etikprövning av personuppgiftsbehandling för forskningsändamål Dataskyddsförordningen definierar inte närmare vad som avses med lämpliga och särskilda skyddsåtgärder. Det är upp till med- lemsstaterna att bedöma detta, särskilt i samband med fastställande i nationell lag. Eventuell granskning sker i efterhand av EU-dom- stolen, där en nationell skyddsåtgärd kan komma att bedömas som oförenlig med förordningens krav. Det är i sammanhanget viktigt att påminna om att all behandling av personuppgifter för forskningsändamål måste uppfylla de all- männa principerna i dataskyddsförordningens artikel 5 samt utgå från en rättslig grund enligt artikel 6.1 och omfattas av lämpliga skyddsåtgärder enligt artikel 89.1. Vid behandling för forsknings- ändamål av känsliga personuppgifter eller personuppgifter om lag- överträdelser m.m. krävs dessutom att kraven enligt artikel 9.2 eller artikel 10 är uppfyllda, vilket enligt utredningens förslag genomförs i och med den nationella reglering avseende skyddsåtgärd som krä- ver etikgodkännande för att behandlingen ska få utföras. Den fullständiga etikprövningen bör enligt vår mening begrän- sas till de personuppgiftsbehandlingar som formellt sett kräver ett dylikt omfattande skydd. Dagens krav på etikprövning omfattar, som framkommit ovan, även sådan personuppgiftsbehandling som generellt kan betraktas som mindre riskfylld för den enskilde, men som ändå är i behov av lämplig skyddsåtgärd. Att tillämpa samma etikprövningsförfarande på all slags personuppgiftsbehandling som etikprövningslagen omfattar är mot denna bakgrund inte rimligt och proportionerligt. Det riskerar dessutom att urholka förtroendet för etikprövning som skyddsåtgärd om förfarandet inte åtminstone i viss mån anpassas utifrån skyddsbehovet. Det är etikprövningsnämndernas uppgift att bedöma varje ansö- kan för sig och ställa de krav på skydd för den registrerades integri- tet som är motiverad i det enskilda fallet. Varje enskild bedömning kan mynna ut i ett villkorat godkännande där en kombination av skyddsåtgärder är möjlig. Etikprövningen omfattar även kontroll av informationen till forskningspersonerna, vilket också utgör ett starkt skydd mot integritetsrisker. Efter det att etikprövningslagen infördes har det vuxit fram praxis för etikprövningsförfarandet vid olika slags personuppgiftsbehand- lingar. Särskilt sådana situationer som bedömts innebära en lägre integritetsrisk bedöms utifrån tidigare vägledande avgöranden genom ett mer rutinartat förfarande. För ett mer lättillgängligt och trans- Etikprövning av personuppgiftsbehandling för forskningsändamål parent regelverk krävs dock tydligare gränsdragningar inom ramen för lagens tillämpningsområde liksom en reglerad beskrivning av i vilka situationer ett mer ändamålsenligt förfarande kan komma ifråga. Effektivitetsaspekten är en tungt vägande faktor i samman- hanget. Ett mer ändamålsenligt förfarande torde leda till vinster för etikprövningsnämnderna avseende effektivitet och resursanvänd- ning. All etikprövning bör således ske på ett ändamålsenligt sätt enligt en förutsebar och tydlig reglering, med möjlighet till insyn för den enskilde, samt omfattas av kontroll och tillsyn. Mot bakgrund av föregående resonemang är det utredningens bedömning att ett mer ändamålsenligt etikprövningsförfarande för sådan personuppgiftsbehandling som typiskt sett kan anses inne- bära en lägre risk för integritetsintrång bör utredas vidare. 14.6Anpassningar av etikprövningslagen till dataskyddsförordningen Utredningen har i uppdrag att se över vilka anpassningar av etik- prövningslagen som behövs med anledning av dataskyddsförord- ningen och den generella reglering föreslår och lämna behövliga författningsförslag. I detta avsnitt presenteras därför de anpassningar av etikprövningslagen som behövs utöver de förslag som utredningen redan har presenterat. Det kan för tydlig- hetens skull i sammanhanget framhållas att det är utredningens be- dömning att övriga bestämmelser i etikprövningslagen inte berörs av dataskyddsförordningen och därför inte behandlas närmare. och har efter samråd kommit överens om att överföra den del av Dataskydds- utredningens uppdrag som rör personuppgiftsbehandling för forsk- ningsändamål till . Eftersom etikpröv- ningslagen tillämpas på forskning som avser människor innebär detta beslut om överförande av uppdrag att inte lämnar några förslag avseende etikprövningslagen. Några andra för- slag till generell reglering från som påverkar etikprövningslagen har vi inte tagit del av. Utredningen har således i denna del främst att utgå ifrån vilka anpassningar av etikprövnings- lagen som behövs med anledning av dataskyddsförordningen. Etikprövning av personuppgiftsbehandling för forskningsändamål När dataskyddsförordningen börjar tillämpas upp- hävs personuppgiftslagen. Som en direkt följd av detta måste alla författningar som relaterar till personuppgiftslagen ses över och an- passas. I etikprövningslagen återfinns ett flertal hänvisningar till personuppgiftslagen som behöver justeras i förhållande till data- skyddsförordningen. Utöver anpassningar i etikprövningslagen medför införandet av dataskyddsförordningen i detta sammanhang att de delar av person- uppgiftslagen som hanterar personuppgiftsbehandling för forsk- ningsändamål och som hänvisar till etikprövningslagen måste tas om hand eftersom personuppgiftslagen upphävs. Detta avser 19 § första stycket (undantag från förbudet att behandla känsliga person- uppgifter för forskningsändamål efter etikgodkännande) och 21 § andra stycket (undantag från förbudet för enskilda att behandla personuppgifter om lagöverträdelser m.m. för forskningsändamål efter etikgodkännande). Utredningens övriga överväganden och förslag avseende dessa delar framgår av kapitel 7 och 8. Definitionen av behandling av personuppgifter (2 §) Utredningens förslag: 2 § i lagen om etikprövning av forskning som avser människor anpassas så att det framgår att i lagen avses med behandling av personuppgifter sådan behandling som anges i artikel 4.2 i dataskyddsförordningen. I 2 § etikprövningslagen definieras behandling av personuppgifter som sådan behandling som anges i 3 § personuppgiftslagen. Denna definition bör omformuleras med en hänvisning till dataskyddsför- ordningens definition enligt artikel 4.2. Etikprövning av personuppgiftsbehandling för forskningsändamål Forskning som omfattas av lagen (3 §) Utredningens förslag: 3 § i lagen om etikprövning av forskning som avser människor ändras så att det framgår att lagen ska tillämpas på forskning som innefattar behandling av 1.sådana särskilda kategorier av personuppgifter som framgår av artikel 9.1 dataskyddsförordningen (känsliga personupp- gifter), eller 2.sådana personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden. Utredningens överväganden och förslag avseende tillämpnings- området framgår av avsnitt 14.4.5, där utredningen gör bedöm- ningen att etikprövningslagens krav även fortsättningsvis bör om- fatta personuppgiftsbehandling för forskningsändamål av känsliga personuppgifter och personuppgifter om lagöverträdelser m.m. Avseende etikprövningslagens tillämpningsområde hänvisas i 3 § till 13 och 21 §§ personuppgiftslagen. Dessa hänvisningar måste därför omformuleras. Utlämnande av personuppgifter (12 §) Utredningens förslag: 12 § i lagen om etikprövning av forsk- ning som avser människor överförs till forskningsdatalagen och omformuleras så att det framgår att personuppgifter får lämnas ut för att behandlas för forskningsändamål, om inte något annat följer av regler om sekretess och tystnadsplikt. Vid sådan person- uppgiftsbehandling behöver artikel 14.1–4 i dataskyddsförord- ningen inte iakttas. Detta hindrar inte att villkor enligt 6 § lagen om etikprövning av forskning som avser människor får avse den information som ska lämnas till den registrerade. Etikprövning av personuppgiftsbehandling för forskningsändamål Beträffande 12 § etikprövningslagen relaterar den till personupp- giftslagen betydligt mer än vad själva bestämmelsen ger uttryck för. Bestämmelsen har följande lydelse: Personuppgifter får lämnas ut för att användas i forskning, om inte något annat följer av regler om sekretess och tystnadsplikt. Enligt förarbetena till etikprövningslagen ska 12 § läsas mot bak- grund av 24 § första och andra styckena personuppgiftslagen59 som har följande lydelse: Om personuppgifter har samlats in från någon annan källa än den registrerade, skall den personuppgiftsansvarige självmant lämna den registrerade information om behandlingen av uppgifterna när de regi- streras. Är uppgifterna avsedda att lämnas ut till tredje man, behöver informationen dock inte ges förrän uppgifterna lämnas ut . Information enligt första tycket behöver inte lämnas, om det finns bestämmelser om registrerandet eller utlämnandet av personuppgif- terna i en lag eller någon annan författning. Andra stycket baseras på artikel 11.2 i dataskyddsdirektivet. Arti- kel 11 har följande lydelse: Information när uppgifterna inte har samlats in från den registrerade Om uppgifterna inte har samlats in från den registrerade, skall medlemsstaterna föreskriva att den registeransvarige eller hans företrä- dare vid tiden för registreringen av personuppgifter eller, om utläm- nande till en tredje man kan förutses, inte senare än då uppgifterna först lämnas ut, skall ge den registrerade åtminstone följande information, utom när den registrerade redan känner till in- formationen: a)Den registeransvariges och dennes eventuella företrädares identitet. b)Ändamålen med behandlingen. c)All ytterligare information, exempelvis –de kategorier av uppgifter som behandlingen gäller, –mottagarna eller de kategorier som mottar uppgifterna, –förekomsten av rättigheter att få tillgång till och att erhålla rätt- else av de uppgifter som rör honom, i den utsträckning som den ytterligare informationen – med hänsyn till de särskilda omständig- heter under vilka uppgifterna samlas in – är nödvändig för att till- försäkra den registrerade en korrekt behandling. 2002/03:50 s. 175 f. Etikprövning av personuppgiftsbehandling för forskningsändamål Bestämmelserna i punkt 1 skall inte gälla när det – särskilt i samband med behandling för statistiska ändamål eller historiska eller vetenskap- liga forskningsändamål – visar sig omöjligt eller innebära en opropor- tionerligt stor ansträngning att ge information eller om registrering eller utlämnande uttryckligen föreskrivs i författning. I sådana fall skall medlemsstaterna föreskriva lämpliga skyddsåtgärder. Artikel 11.2 i dataskyddsdirektivet införlivades således i svensk rätt genom 24 § personuppgiftslagen. För att undgå kravet på infor- mation till den registrerade enligt 24 § första stycket krävdes att registrering eller utlämnande av personuppgifter uttryckligen fast- ställdes i författning. Den ursprungliga bestämmelsen i 19 § per- sonuppgiftslagen reglerade undantag från förbudet att behandla känsliga personuppgifter för både forsknings- och statistikändamål under samma förutsättningar. Den ursprungliga formuleringen i 19 § tredje stycket personuppgiftslagen syftade till att uppfylla kra- vet i 24 § andra stycket för både forsknings- och statistikändamål. Formuleringen i 19 § tredje stycket löd: Personuppgifter får lämnas ut för att användas i sådana projekt som avses i första stycket, om inte något annat följer av regler om sekretess och tystnadsplikt. I samband med att etikprövningslagen infördes justerades formu- leringen i 19 § tredje stycket personuppgiftslagen till att omfatta enbart behandling för statistiska ändamål i det som kom att bli fjärde stycket, som en likalydande bestämmelse infördes i 12 § etikprövningslagen vilken omfattade behandling för forsknings- ändamål. Lagstiftaren valde således att placera bestämmelsen avse- ende forskning i etikprövningslagen och behålla bestämmelsen av- seende statistik i personuppgiftslagen. För att forskare ska kunna undgå informationsskyldigheten en- ligt 24 § personuppgiftslagen, och artikel 11.2 dataskyddsdirektivet, krävs alltså att utlämnande föreskrivs uttryckligen i författning vilket uppfylls genom 12 § etikprövningslagen. Frågan är så- ledes vilka krav som i sammanhanget uppställs enligt dataskydds- förordningen, och som skulle kunna ge upphov till behov av anpass- ningar av etikprövningslagen. I dataskyddsförordningens artikel 14 regleras information som ska tillhandahållas om personuppgifterna inte har erhållits från den registrerade. Artikel 14 i förordningen är betydligt mer omfattande än artikel 11 i direktivet och har följande lydelse: Etikprövning av personuppgiftsbehandling för forskningsändamål Information som ska tillhandahållas om personuppgifterna inte har er- hållits från den registrerade